Bozza da validare

Informativa privacy

Questa informativa è resa ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (GDPR). Descrive quello che il sito fa davvero oggi.

Chi è il titolare

Titolare del trattamento è l'Avv. Veronica Paolucci, con sede in Corso Mazzini 29, int. 3, 47521 Cesena (FC), P.IVA 04662520404. Per qualunque domanda sui tuoi dati puoi scrivere a avvocato@veronicapaolucci.com.

Quali dati tratta il sito

Dipende da cosa fai. Se visiti solo le pagine, passano da Cloudflare i dati tecnici della richiesta e il sito conta la visita in forma anonima. Se compili il modulo dei contatti, salvo le tue risposte. Se mi scrivi per email, il messaggio arriva nella mia casella. Il sito non imposta cookie propri e non usa servizi di analisi esterni. Font e script arrivano tutti dal sito stesso, tranne uno: nella pagina dei contatti, dopo la seconda domanda, si carica lo script del controllo anti-spam di Cloudflare. Le sezioni qui sotto spiegano ogni caso.

Il modulo dei contatti

Nella pagina dei contatti ti faccio qualche domanda prima di metterti in contatto con me. Salvo le risposte: chi sei (azienda, ente pubblico, startup, consulente che segue un cliente), cosa ti porta da me, l'area che ti interessa, il racconto che scrivi (al massimo 600 caratteri), nome, email e azienda. Ruolo, telefono e come mi hai conosciuto li salvo solo se li scrivi tu. Insieme alle risposte registro la data dell'invio e la versione di questa informativa che avevi davanti.

Nome, email, azienda, le risposte alle domande e il racconto mi servono per capire la richiesta e risponderti: senza questi dati il modulo non parte. Usare il modulo non è obbligatorio, però: puoi sempre scrivermi per email o telefonarmi. Ruolo, telefono e come mi hai conosciuto sono facoltativi.

Se sei un privato o hai un incidente in corso, il modulo si ferma prima e non salva le tue risposte: ti mostra i miei recapiti diretti. In quel caso il conteggio delle visite registra solo quale delle due uscite hai raggiunto (privato o incidente), senza le altre risposte e senza niente che ti identifichi.

Uso questi dati per risponderti e, se la richiesta resta in sospeso, per ricontattarti su quella richiesta: sono misure precontrattuali che mi chiedi tu (art. 6, par. 1, lett. b) GDPR). Per il modulo non ti chiedo un consenso. Non prendo decisioni basate unicamente su un trattamento automatizzato e non faccio profilazione: le risposte le leggo io.

Le risposte restano nel database per 6 mesi dall'ultimo contatto con te, poi una procedura automatica le cancella. Se diventi mio cliente, i dati seguono le regole del rapporto professionale e restano per un altro periodo: [DA VERONICA] (termine per i clienti).

Il database è di Supabase, Inc., che lo gestisce come responsabile del trattamento (art. 28 GDPR) in un data center nell'Unione europea (Irlanda). Se un suo fornitore tratta dati fuori dall'Unione, valgono le clausole contrattuali tipo della Commissione europea previste dal suo accordo sul trattamento dei dati. Backup: durata [DA VERIFICARE] (dipende dal piano di Supabase scelto prima della pubblicazione).

Quando arriva un contatto ricevo un'email di avviso, spedita tramite Resend [DA VERIFICARE] (sede, accordo sul trattamento e garanzie per l'eventuale trasferimento fuori dall'Unione). L'avviso dice area, motivo e nome dell'azienda, se chi scrive è un consulente che segue un cliente, una nota quando il modulo sembra compilato da un programma e un codice tecnico per ritrovare il contatto nel database. Nome, email, telefono e racconto restano nel database e nell'avviso non ci sono. Il tracciamento di aperture e clic è spento. Gli avvisi nella mia casella li conservo per 6 mesi, come le email.

Prima di accettare l'invio, Cloudflare Turnstile controlla che a compilare il modulo sia una persona e non un programma automatico. Per farlo esamina alcune caratteristiche del browser e del dispositivo: quali, e con quali garanzie, [DA VERIFICARE]. Il controllo non usa la modalità che lascerebbe un cookie di accesso nel browser. Se la verifica non riesce, l'invio non parte e il modulo ti mostra i miei recapiti diretti. La base giuridica, qui come per il limite di frequenza descritto più sotto, è il mio legittimo interesse a proteggere il modulo e il sito dagli abusi (art. 6, par. 1, lett. f) GDPR).

Il conteggio delle visite

Ogni pagina del sito conta le visite e i passi del modulo, per capire quali pagine servono e dove il modulo si inceppa. Salvo: la pagina vista, i clic sui pulsanti del sito, i passi del modulo raggiunti (non le risposte), il tipo di dispositivo, il browser, il sistema operativo, la fascia di larghezza dello schermo, il sito da cui arrivi (solo il dominio, mai l'indirizzo completo) e le sigle della campagna se il link ne porta una.

Il conteggio non usa cookie e non usa identificatori persistenti: ogni caricamento di pagina ha un codice casuale che non lo collega ad altri. Non salvo l'indirizzo IP, non incrocio questi dati con quelli del modulo e non li condivido con nessuno. Così non posso sapere chi sei né riconoscerti a una visita successiva.

La base giuridica è il mio legittimo interesse a capire come viene usato il sito (art. 6, par. 1, lett. f) GDPR). I dati stanno nello stesso database su Supabase, nell'Unione europea, e si cancellano da soli dopo 14 mesi.

Puoi opporti anche al conteggio delle visite (art. 21 GDPR). Siccome questi dati non mi permettono di riconoscerti, il modo più semplice è bloccare gli script del sito nel browser: le pagine restano leggibili e i miei recapiti restano visibili, manca solo il modulo. Puoi anche scrivermi.

L'indirizzo IP e il limite di frequenza

Il sito legge il tuo indirizzo IP solo nel momento della richiesta, per calcolare il limite di frequenza: vale per l'invio del modulo e per il conteggio delle visite. Dall'indirizzo ricava una chiave (l'indirizzo IPv4, oppure la prima metà di un indirizzo IPv6) e la passa a Cloudflare, che conta le richieste ravvicinate, in finestre di un minuto, come responsabile del trattamento. Il sito non lo salva e non lo registra da nessuna parte: non finisce nel database, nei messaggi d'errore o nei log. La base giuridica è quella del controllo anti-spam: proteggere il modulo e il sito dagli abusi.

Cloudflare, che ospita il sito

Il sito è ospitato da Cloudflare, Inc. (Stati Uniti), che lo distribuisce e lo protegge. Cloudflare agisce come responsabile del trattamento (art. 28 GDPR) in base al proprio accordo sul trattamento dei dati, il Customer DPA, che fa parte delle condizioni del servizio.

Per consegnarti le pagine e respingere attacchi e abusi, Cloudflare tratta i dati tecnici di ogni richiesta: indirizzo IP, data e ora, pagina richiesta, browser usato (user agent) e paese di provenienza. La base giuridica è il mio legittimo interesse a tenere il sito sicuro e raggiungibile (art. 6, par. 1, lett. f) GDPR), che il considerando 49 del GDPR riconosce espressamente per i dati di traffico trattati a fini di sicurezza.

Gli eventi di sicurezza e le statistiche di traffico, campionati o aggregati, restano presso Cloudflare fino a 31 giorni. Dal pannello di Cloudflare posso consultare gli eventi di sicurezza, che mostrano anche l'indirizzo IP: li guardo solo per capire un attacco o un blocco, non li esporto e non li conservo altrove.

Alcuni dati possono essere trattati in data center fuori dall'Unione europea, anche negli Stati Uniti. Cloudflare dichiara di aderire all'EU-U.S. Data Privacy Framework, riconosciuto adeguato dalla Commissione europea con la decisione (UE) 2023/1795 [DA VERIFICARE] (iscrizione nell'elenco ufficiale). In mancanza valgono le clausole contrattuali tipo della Commissione (decisione (UE) 2021/914, modulo 2), incluse nel Customer DPA.

Per i dettagli vedi la privacy policy e il Customer DPA di Cloudflare.

Chi altro vede i dati

Ai dati del modulo, del conteggio delle visite e di Cloudflare può accedere anche il fornitore IT che sviluppa e mantiene il sito, LiBere SRL (sAInapse), con sede in Via di Donna Olimpia 166, 00152 Roma (RM), P.IVA 16202051005, come responsabile del trattamento (art. 28 GDPR). Ci accede solo per la manutenzione e quando gli chiedo di intervenire.

Se mi scrivi

I link email del sito aprono il tuo programma di posta: il messaggio arriva nella mia casella, fuori dal sito, e lo tratta anche il provider della casella email.

Uso i dati del messaggio per risponderti (riscontro alla richiesta, art. 6.1.b GDPR) e li conservo per 6 mesi dall'ultimo contatto, incluse le copie in casella; poi li cancello.

Memoria del browser

Oltre a non usare cookie propri, il sito non salva informazioni nel browser di chi lo visita: né il modulo né il conteggio delle visite. Per il controllo anti-spam di Cloudflare sul modulo vedi la cookie policy.

Link ad altri siti

I link a YouTube, Substack, LinkedIn portano fuori da questo sito, che non incorpora i loro contenuti. Quando li apri valgono le informative di quei servizi. L'iscrizione alla newsletter avviene su Substack, che gestisce informativa e consenso propri.

I tuoi diritti

Il GDPR ti riconosce i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità (artt. 15-22 GDPR). Per esercitarli scrivi a avvocato@veronicapaolucci.com: rispondo entro un mese, che può diventare tre se la richiesta è complessa, e in quel caso te lo dico entro il primo mese. Per proteggere i tuoi dati rispondo all'indirizzo email registrato nel modulo. Puoi anche proporre reclamo al Garante per la protezione dei dati personali.