Informativa sul trattamento dei dati personali

01Titolare del trattamento

Il Titolare del trattamento è Michael Perelli, libero professionista, P. IVA 01632840524, con sede operativa in Siena (SI), Italia.

• Email per privacy ed esercizio dei diritti: [email protected]
• Telefono: +39 328 740 8204

Non è stato nominato un Responsabile della protezione dei dati (DPO): il trattamento non rientra nei casi di designazione obbligatoria previsti dall’art. 37 del GDPR. Ogni richiesta va quindi indirizzata direttamente al Titolare.

02Definizioni utili

Dato personale

Qualsiasi informazione che identifica o rende identificabile una persona fisica: nome, email, numero di telefono, indirizzo IP, identificativi online.

Trattamento

Qualunque operazione compiuta su dati personali: raccolta, consultazione, conservazione, comunicazione, cancellazione.

Interessato

La persona fisica cui si riferiscono i dati: nel caso di questo sito, tu che lo stai consultando.

Titolare

Chi decide finalità e modalità del trattamento. Per questo sito è Michael Perelli.

Responsabile

Un fornitore che tratta dati per conto del Titolare sulla base di un contratto ai sensi dell’art. 28 GDPR (per esempio l’hosting o la piattaforma di analytics).

03Categorie di dati trattati

A seconda di come interagisci con il sito, possono essere trattate le seguenti categorie di dati.

• Dati di navigazione. I sistemi che erogano il sito acquisiscono, per il loro normale funzionamento, dati la cui trasmissione è implicita nei protocolli di Internet: indirizzo IP, tipo e versione del browser e del sistema operativo, data e ora della richiesta, pagina richiesta, esito della risposta del server, referrer. Questi dati non sono usati per identificarti, ma potrebbero permettere l’identificazione tramite elaborazioni e associazioni con dati di terzi.
• Dati dell’assistente virtuale e comunicazioni immediate. Quando utilizzi l’assistente virtuale del sito per formulare quesiti o richiedere preventivi orientativi, le richieste vengono gestite in tempo reale nella memoria temporanea volatile della sessione del browser (client-side). Non vi è persistenza su database esterni né impiego di modelli di profilazione o intelligenza artificiale di terze parti. Qualora decidi di trasferire la richiesta su WhatsApp, la corrispondenza prosegue sulla piattaforma di messaggistica istantanea (Meta Platforms Ireland Ltd) con crittografia end-to-end.
• Dati che fornisci volontariamente. Quando scrivi all’indirizzo email indicato nel sito o apri una conversazione tramite i pulsanti WhatsApp, tratto i dati contenuti nel messaggio: nome, contatti, azienda e ogni informazione che decidi di includere nella descrizione del progetto.
• Dati del modulo di contatto. Se compili il modulo presente nel sito, tratto i campi che hai inserito — nome e cognome, indirizzo email, e facoltativamente telefono, azienda, tipo di progetto e fascia di budget — insieme al testo del messaggio. Registro inoltre, a fini di prova del consenso e di difesa da abusi del modulo, la data e l’ora dell’invio, il testo esatto dell’informativa che hai accettato, l’indirizzo IP e la stringa di identificazione del browser.
• Dati di attività economiche raccolti per finalità commerciali. Per proporre i miei servizi tratto dati riferiti a imprese e professionisti — denominazione, categoria merceologica, indirizzo, sito web, recapiti telefonici ed email — raccolti da OpenStreetMap (dati aperti, licenza ODbL) e dai siti internet delle attività stesse. Sono trattati solo recapiti che l’attività ha reso pubblici per essere contattata. Il dettaglio è nella sezione «Comunicazioni commerciali».
• Dati di prenotazione di una call. Se in futuro utilizzi il modulo di prenotazione erogato da Cal.com, la piattaforma raccoglie nome, email, fuso orario e note della prenotazione per organizzare l’appuntamento.
• Dati contrattuali, contabili e fiscali. In caso di incarico professionale tratto i dati necessari a redigere preventivi, contratti, fatture e adempimenti fiscali: dati anagrafici, partita IVA o codice fiscale, indirizzo, coordinate di pagamento, corrispettivi.
• Dati di preventivi, contratti e firma. Se ti invio un preventivo o un contratto, tratto i dati necessari a intestarlo — denominazione, indirizzo, partita IVA o codice fiscale, codice destinatario SDI o PEC — e, quando apri o sottoscrivi il documento, la data e l’ora, l’indirizzo IP, il tipo di browser, il nome che dichiari e l’impronta crittografica del testo che hai davanti. Il dettaglio è nella sezione «Preventivi, contratti e firma elettronica».
• Messaggi ricevuti sulla casella di posta professionale. Le email che invii all’indirizzo indicato nel sito sono conservate sul server di posta e lette anche tramite uno strumento di gestione da me utilizzato: sono trattati il nome e l’indirizzo del mittente, l’oggetto, la data, il contenuto del messaggio e gli eventuali allegati. Il dettaglio è nella sezione «Casella di posta».
• Identificativi online e preferenze. Cookie e strumenti analoghi, descritti in dettaglio nella Cookie Policy.

Il sito non richiede e non intende trattare categorie particolari di dati ai sensi dell’art. 9 del GDPR (dati che rivelano origine etnica, opinioni politiche, convinzioni religiose, dati sulla salute, sulla vita o sull’orientamento sessuale). Ti invito a non inserire dati di questo tipo nei messaggi che mi invii.

04Finalità, basi giuridiche e tempi di conservazione

Ogni trattamento ha una finalità determinata, una base giuridica e un tempo di conservazione definito. Alla scadenza i dati sono cancellati o resi anonimi in modo irreversibile.

05Natura del conferimento e conseguenze del rifiuto

• Dati di navigazione: il conferimento è tecnicamente necessario per consultare il sito. Senza di essi la comunicazione fra il tuo dispositivo e il server non è possibile.
• Dati di contatto: il conferimento è facoltativo, ma il rifiuto rende impossibile rispondere alla richiesta o formulare un preventivo.
• Dati contrattuali e fiscali: il conferimento è obbligatorio per legge una volta instaurato il rapporto; il rifiuto impedisce l’emissione della fattura e quindi l’esecuzione dell’incarico.
• Cookie non necessari: il conferimento è libero e revocabile. Il rifiuto non limita in alcun modo la consultazione del sito.

06Destinatari dei dati e fornitori

I dati non sono diffusi né ceduti a terzi per finalità di marketing. Possono essere trattati, nei limiti delle rispettive competenze, dai soggetti indicati di seguito, nominati responsabili del trattamento ai sensi dell’art. 28 GDPR quando trattano dati per mio conto.

Il sito è ospitato su un server privato virtuale (VPS Cloud) fornito da Aruba S.p.A., con infrastruttura e data center situati in Italia: i dati di navigazione e i log del server non escono quindi dall’Unione europea. La configurazione, gli aggiornamenti e la sicurezza del server sono gestiti direttamente dal Titolare; Aruba S.p.A. agisce come responsabile del trattamento per l’infrastruttura, sulla base di quanto previsto dall’art. 28 del GDPR.

L’elenco aggiornato dei responsabili del trattamento può essere richiesto in qualsiasi momento scrivendo a [email protected].

07Statistiche del sito senza cookie

Il sito utilizza un sistema di statistiche sviluppato e ospitato direttamente sul server del Titolare. È descritto qui in dettaglio perché, pur essendo uno strumento di misurazione, funziona in modo sostanzialmente diverso dai servizi analitici più diffusi.

• Non archivia né consulta informazioni sul tuo dispositivo. Non installa cookie, non scrive in localStorage né in sessionStorage, non usa fingerprinting né identificatori pubblicitari. Per questa ragione non ricade nell’ambito dell’art. 122 del Codice Privacy e non richiede il tuo consenso.
• Non conserva il tuo indirizzo IP. L’indirizzo IP è utilizzato solo in memoria, per il tempo strettamente necessario a calcolare un’impronta crittografica non reversibile, e non viene mai scritto su disco.
• L’impronta è temporanea per costruzione. È il risultato di una funzione di hash irreversibile calcolata su indirizzo IP, tipo di browser e una chiave casuale che viene rigenerata ogni notte. Il giorno successivo la stessa persona produce un’impronta completamente diversa: non esiste alcun identificatore che permetta di seguirti nel tempo, e questa è una proprietà tecnica del sistema, non una promessa organizzativa.
• Che cosa viene misurato. Pagine visitate, durata della visita, percentuale di pagina scorsa, sito di provenienza, parametri di campagna eventualmente presenti nel collegamento, tipo di dispositivo, browser e sistema operativo, lingua del browser, tempi di caricamento e indicatori di prestazione della pagina, eventuali errori tecnici, e interazioni con i pulsanti di contatto (WhatsApp, telefono, email, invio del modulo).
• Come vengono usate le pagine. Oltre ai numeri di traffico misuro il modo in cui le pagine vengono utilizzate, per capire che cosa correggere: su quale pulsante o collegamento si è fatto clic (viene registrato quale elemento — il tipo di elemento e il testo che riporta — e non la posizione del puntatore sullo schermo); i clic su elementi che non sono cliccabili e i clic ripetuti sullo stesso punto, che segnalano un difetto dell’interfaccia; quali sezioni della pagina sono comparse sullo schermo e per quanto tempo; il tempo trascorso con la pagina davvero in primo piano, distinto da quello con la scheda semplicemente aperta; ed eventuale testo selezionato e copiato dalle pagine pubbliche.
• Il percorso dentro il modulo di contatto. Registro il nome dei campi che vengono toccati, quali risultano compilati e qual è l’ultimo campo toccato da chi non porta a termine l’invio. Non viene mai registrato il contenuto dei campi: serve a capire quale domanda è di troppo, non che cosa hai scritto. I campi di controllo antispam sono esclusi anche dal solo nome.
• Che cosa non viene fatto, in nessun caso. Non vengono registrate le coordinate del puntatore né prodotte mappe di calore; non viene registrata la sessione né riprodotta la navigazione a schermo; non vengono acquisiti i contenuti digitati nei campi; non viene creato alcun identificatore che sopravviva alla giornata. Tutte le rilevazioni descritte sopra restano agganciate all’impronta temporanea, e con essa scompaiono.
• Paese di provenienza. È ricavato dall’intestazione fornita dalla rete di distribuzione Cloudflare, che indica soltanto la sigla a due lettere del Paese. Non viene effettuata alcuna geolocalizzazione più precisa e non sono interrogati servizi esterni.
• Nessuna condivisione. I dati restano sul server del Titolare, non sono trasmessi ad alcun soggetto terzo, non sono utilizzati per profilazione né per pubblicità.
• Esclusione e opt-out locale. È prevista la facoltà di escludere specifici indirizzi IP e singoli dispositivi/browser dal tracciamento delle visite (tramite un selettore di bypass locale che memorizza la preferenza sul dispositivo per bloccare l’invio dei dati statistici alla radice).

08Comunicazioni commerciali verso imprese e professionisti

Nell’ambito della mia attività professionale invio proposte commerciali a imprese e professionisti operanti nel territorio. Questa sezione descrive come lo faccio, in modo che tu possa verificarlo e, se lo desideri, oppormiti.

Da dove provengono i recapiti

Esclusivamente da due fonti pubbliche: il progetto OpenStreetMap (banca dati aperta, licenza ODbL), dove sono le attività stesse o la comunità a pubblicare i propri recapiti, e i siti internet ufficiali delle attività, dove l’indirizzo è pubblicato nelle pagine di contatto. Non acquisto elenchi, non estraggo dati da servizi che lo vietano nelle proprie condizioni d’uso, e non invio a indirizzi ricavati per tentativi a partire dal nome di dominio.

A chi sono rivolte

A soggetti economici in quanto tali — imprese, esercizi commerciali, professionisti — per proposte pertinenti alla loro attività. Non invio comunicazioni commerciali a persone fisiche al di fuori di un contesto professionale.

Base giuridica

Legittimo interesse ai sensi dell’art. 6.1.f GDPR: la promozione della propria attività verso soggetti economici che hanno pubblicato un recapito affinché li si contatti costituisce un interesse legittimo, riconosciuto anche dal considerando 47 del GDPR. Il bilanciamento tiene conto del fatto che il recapito è già pubblico, che la proposta è pertinente all’attività del destinatario, che il volume degli invii è deliberatamente contenuto e che l’opposizione è immediata e definitiva.

Come opporsi

Ogni messaggio contiene un collegamento di annullamento che agisce con un solo clic, senza dover accedere ad alcun account né motivare la richiesta, e il pulsante «Annulla iscrizione» del tuo programma di posta funziona allo stesso modo. In alternativa è sufficiente scrivere a [email protected]. L’opposizione è registrata immediatamente e ha effetto permanente: l’indirizzo viene inserito in un elenco di esclusione dal quale non può essere rimosso, così da non essere ricontattato nemmeno da ricerche successive.

Che cosa conservo

Denominazione e recapiti pubblici dell’attività, la categoria merceologica, l’indirizzo e la data dell’eventuale invio. In caso di opposizione conservo il solo indirizzo email nell’elenco di esclusione: è l’unico modo tecnicamente possibile per garantire che l’opposizione venga rispettata nel tempo, e questo trattamento residuale si fonda sull’obbligo di dare seguito all’esercizio del diritto (art. 21 GDPR).

09Preventivi, contratti e firma elettronica

Quando ti invio un preventivo o un contratto, il documento è consultabile da una pagina riservata raggiungibile solo tramite un collegamento personale contenuto nell’email. Da quella pagina puoi accettare, rifiutare o firmare. Poiché tutto questo comporta il trattamento di tuoi dati, di seguito trovi il dettaglio di che cosa viene raccolto e perché.

Dati del documento

• Dati identificativi e fiscali necessari a intestare il documento: denominazione o nome e cognome, indirizzo, partita IVA o codice fiscale, codice destinatario SDI o PEC, referente, email e telefono.
• Contenuto economico: voci, importi, sconti, condizioni di pagamento e di consegna, scadenze delle fasi di lavoro.
• Note interne: eventuali annotazioni sull’andamento della trattativa, mai visibili sul documento consegnato.

Dati raccolti quando apri, accetti o firmi

Ogni apertura del collegamento e ogni azione compiuta sul documento sono registrate in un registro delle attività che conserva: data e ora, indirizzo IP, tipo di browser e sistema operativo, il nome e i recapiti che dichiari nel modulo di accettazione o di firma, e l’impronta crittografica (SHA-256) del testo che avevi davanti in quel momento.

Copia congelata del documento

Nel momento in cui un documento ti viene inviato, ne viene conservata una copia immodificabile insieme alla sua impronta crittografica. Serve a garantire che ciò che hai letto e accettato resti leggibile esattamente com’era, anche se in futuro cambio listini o clausole standard: è una tutela per te tanto quanto per me. L’impronta è stampata in calce a ogni PDF, così puoi verificarla in qualsiasi momento.

Fatturazione

La fattura elettronica non è emessa da questo sito. È emessa tramite Fiscozen S.p.A., che agisce come responsabile del trattamento ai sensi dell’art. 28 del GDPR, e viene trasmessa attraverso il Sistema di Interscambio dell’Agenzia delle Entrate, canale obbligatorio per legge (art. 1 del D.Lgs. 127/2015). La ricevi nel tuo cassetto fiscale, oppure all’indirizzo PEC che hai indicato come recapito telematico. Nella dashboard conservo il riferimento della fattura e la relativa copia di cortesia in PDF, che ti invio per email: quella copia è una rappresentazione leggibile e non sostituisce l’originale elettronico.

Conservazione

Il collegamento alla pagina del documento contiene un codice casuale di 256 bit: non è indovinabile e non permette di risalire ad altri documenti. Le pagine dei documenti sono escluse dall’indicizzazione dei motori di ricerca e non sono soggette a rilevazione statistica. Se ritieni che un collegamento sia stato divulgato, scrivimi: lo revoco e te ne invio uno nuovo.

10Casella di posta e gestione della corrispondenza

La posta elettronica ricevuta all’indirizzo pubblicato nel sito viene consultata, oltre che con un normale programma di posta, tramite uno strumento di gestione interno che si collega alla casella con il protocollo IMAP. Poiché anche questo comporta un trattamento dei tuoi dati, di seguito trovi il dettaglio.

• Cosa viene trattato. Nome e indirizzo email del mittente, destinatari, oggetto, data e ora, identificativo tecnico del messaggio, testo del messaggio ed eventuali allegati.
• Perché. Per leggere e rispondere alla corrispondenza; per verificare automaticamente se un messaggio ricevuto costituisce risposta a una proposta commerciale che ti ho inviato, così da non ricontattarti inutilmente; per riconoscere le richieste di non essere più contattato e darvi seguito.
• Su quale base giuridica. Art. 6.1.b GDPR quando il messaggio riguarda un rapporto contrattuale in essere o una richiesta che precede un incarico. Art. 6.1.f GDPR — legittimo interesse a organizzare la propria corrispondenza professionale e a evitare comunicazioni ripetute e non gradite — per l’abbinamento automatico delle risposte. Art. 6.1.c GDPR per la conservazione della corrispondenza che documenta obblighi fiscali o contabili.
• Come avviene il collegamento. Il collegamento alla casella è cifrato (IMAP su TLS) e le credenziali di accesso sono conservate cifrate. Nessun messaggio viene inoltrato a soggetti terzi diversi dal fornitore del servizio di posta.
• Per quanto tempo. I messaggi sono conservati 24 mesi dalla ricezione, salvo quelli che documentano un rapporto contrattuale, conservati per i termini di legge indicati nella tabella delle finalità.
• Non c’è alcuna decisione automatizzata. L’abbinamento fra una risposta e una proposta inviata è una semplice corrispondenza fra indirizzi e riferimenti tecnici del messaggio: non produce effetti giuridici né incide in modo analogamente significativo sulla tua persona ai sensi dell’art. 22 GDPR. Il contenuto dei messaggi non è usato per profilarti.

11Trasferimenti al di fuori dello Spazio economico europeo

Alcuni fornitori possono trattare dati in Paesi terzi, in particolare negli Stati Uniti. In tal caso il trasferimento avviene esclusivamente in presenza di garanzie adeguate ai sensi del Capo V del GDPR (artt. 44-49), e in particolare:

• decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa al EU-U.S. Data Privacy Framework, per i fornitori che vi aderiscono;
• clausole contrattuali tipo adottate dalla Commissione europea con decisione di esecuzione (UE) 2021/914, integrate da misure supplementari tecniche e organizzative;
• valutazione del rischio del trasferimento, ove richiesta, e minimizzazione dei dati trasferiti.

12Modalità del trattamento e misure di sicurezza

Il trattamento è effettuato con strumenti informatici e telematici, con logiche strettamente correlate alle finalità indicate e per il tempo necessario a conseguirle. Sono adottate misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, tra cui:

• cifratura in transito di tutte le comunicazioni con il sito tramite protocollo HTTPS (TLS);
• accesso ai dati limitato al Titolare e ai fornitori strettamente necessari, con credenziali individuali e autenticazione a più fattori dove disponibile;
• aggiornamento periodico dei componenti software e delle dipendenze applicative;
• copie di sicurezza dei dati necessari alla continuità del servizio;
• minimizzazione: non sono richiesti dati ulteriori rispetto a quelli necessari alla finalità dichiarata.

In caso di violazione dei dati personali che presenti un rischio per i tuoi diritti e libertà, il Titolare provvede alla notifica al Garante entro 72 ore ai sensi dell’art. 33 GDPR e, nei casi di rischio elevato, alla comunicazione agli interessati ai sensi dell’art. 34.

13Processi decisionali automatizzati e profilazione

Non sono effettuati processi decisionali automatizzati ai sensi dell’art. 22 del GDPR, né attività di profilazione individuale a fini pubblicitari. Le statistiche di navigazione sono trattate esclusivamente in forma aggregata per capire come viene consultato il sito.

14I tuoi diritti

In qualità di interessato puoi esercitare in qualsiasi momento i seguenti diritti:

• Accesso (art. 15): sapere se è in corso un trattamento dei tuoi dati e ottenerne copia, insieme alle informazioni su finalità, categorie, destinatari e periodo di conservazione.
• Rettifica (art. 16): ottenere la correzione dei dati inesatti e l’integrazione di quelli incompleti.
• Cancellazione (art. 17): ottenere la cancellazione dei dati quando non sono più necessari, quando revochi il consenso o quando ti opponi con successo al trattamento.
• Limitazione (art. 18): ottenere che i dati siano solo conservati, senza altre operazioni, nei casi previsti dalla norma.
• Portabilità (art. 20): ricevere in formato strutturato, di uso comune e leggibile da dispositivo automatico i dati che hai fornito, e trasmetterli ad altro titolare, quando il trattamento si basa sul consenso o sul contratto ed è effettuato con mezzi automatizzati.
• Opposizione (art. 21): opporti in qualsiasi momento ai trattamenti fondati sul legittimo interesse, per motivi connessi alla tua situazione particolare.
• Revoca del consenso (art. 7.3): revocare in ogni momento il consenso prestato, senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca.

15Reclamo e tutela giurisdizionale

Se ritieni che il trattamento dei tuoi dati violi la normativa, hai diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) ai sensi dell’art. 77 del GDPR, oppure di adire l’autorità giudiziaria ordinaria ai sensi dell’art. 79 del GDPR e dell’art. 152 del Codice Privacy.

16Minori

I servizi descritti sono rivolti a soggetti maggiorenni che agiscono in ambito professionale o imprenditoriale. Non raccolgo consapevolmente dati di minori di 14 anni ai sensi dell’art. 2-quinquies del Codice Privacy. Se un genitore o esercente la responsabilità genitoriale ritiene che siano stati acquisiti dati di un minore, può segnalarlo a [email protected] e i dati saranno cancellati senza ritardo.

17Collegamenti a siti e demo di terze parti

Il sito contiene collegamenti a progetti realizzati, demo pubbliche, profili social e servizi esterni. Una volta seguito il collegamento, il trattamento dei dati è regolato dall’informativa del sito di destinazione: il Titolare non risponde dei contenuti né delle prassi privacy di siti terzi.

18Modifiche a questa informativa

Questa informativa può essere aggiornata per adeguarla a novità normative, a pronunce delle autorità di controllo o a modifiche dei servizi utilizzati. La versione vigente è sempre quella pubblicata su questa pagina, con la data di ultimo aggiornamento indicata in alto. In caso di modifiche sostanziali che richiedano un nuovo consenso, ti sarà chiesto di prestarlo prima della prosecuzione del trattamento.