Informativa privacy

1. Chi sono

Il titolare del trattamento sono io:

ASTRA WEB di Luca Baldaccini (il nome del sito e delle mie email è Astra Web Agency)
Via Pietro Giardini 1196, 41126 Baggiovara (MO)
Partita IVA 04108560360
Email per la privacy: luca@astrawebagency.it

Non ho nominato un responsabile della protezione dei dati (DPO), perché la legge non lo richiede per la mia attività. Per qualsiasi domanda scrivi a me.

2. Quali dati tratto

Se usi il modulo di contatto (pagina Contatti)

Nome e cognome, email, tipo di servizio che ti serve, fascia di budget e descrizione dell'obiettivo. Sono i campi obbligatori.
L'indirizzo del tuo sito attuale, se lo scrivi. È facoltativo.
La pagina del mio sito da cui hai aperto il modulo (per esempio la pagina sull'e-commerce). La aggiunge il modulo da solo, senza che tu scriva niente: mi serve a sapere quale pagina ti ha portato a scrivermi.
Tutto ciò che scrivi tu nel messaggio. Ti chiedo di non inserire dati che non servono, in particolare dati su salute, opinioni o vita privata. Se li scrivi lo stesso, li uso solo per risponderti e li cancello appena possibile.

Se usi il modulo della pagina dedicata ai siti web (campagne a pagamento)

Nome e cognome, email e fascia di budget. Sono obbligatori.
Facoltativi: azienda, telefono, sito web attuale, tipo di progetto, obiettivi, tempi di partenza e messaggio.
Dati che il modulo prende dall'indirizzo della pagina, senza che tu scriva niente: l'identificativo del clic sull'annuncio Google (GCLID), la fonte, il nome della campagna e la parola chiave che ha portato alla pagina. Servono a capire quale annuncio ti ha fatto arrivare da me. Non li carico su Google Ads né su altre piattaforme pubblicitarie.

In ogni caso, quando invii un modulo

Data e ora dell'invio.
Il tuo indirizzo IP, o quello del servizio di rete che sta davanti al sito, per il limite agli invii (vedi punto 3). Lo tengo solo nella memoria del programma, non su disco, per una decina di minuti (vedi punto 7).
Se un invio fatto con il modulo senza JavaScript viene rifiutato (campi mancanti, troppi invii, richiesta non partita dal sito), il registro del server annota il motivo, i nomi dei campi da correggere, il sito da cui è partita la richiesta e la pagina, senza i parametri dell'indirizzo. Annota anche un codice calcolato dal tuo IP con una chiave segreta, che esiste solo nella memoria del programma e cambia a ogni riavvio: serve solo a capire se i rifiuti arrivano sempre dalla stessa parte. Resta un dato personale, ma senza la chiave non posso risalire al tuo indirizzo. Non annota nome, email, telefono né messaggio.
Se la mail con la tua richiesta non riesce a partire (il servizio di posta dà errore o non risponde, o il sito è configurato male), il modulo ti dice che l'invio non è riuscito e resta compilato, così puoi riprovare. Il registro del server annota solo l'errore e quali campi avevi compilato, non il loro contenuto: della tua richiesta non resta copia.

Quando navighi, anche senza scrivermi

Il server che ospita il sito e la rete che lo serve (CDN) possono registrare l'indirizzo IP, il Paese ricavato dall'IP, la data e l'ora, la pagina richiesta, il tipo di dispositivo e di browser e, se la richiesta va in errore, il codice dell'errore. Sono i log tecnici.
Se premi "Ferma le animazioni", il tuo browser salva questa scelta nel suo spazio locale (localStorage), con il nome astra-fermo. Vedi il punto 9.

3. Perché uso i dati e con quale base giuridica

Finalità	Base giuridica
Leggere la tua richiesta, risponderti, mandarti il preventivo o una proposta e, se serve, richiamarti. Mandarti l'email automatica che conferma la ricezione.	Art. 6, par. 1, lett. b) GDPR: sono misure precontrattuali adottate su tua richiesta.
Evitare spam e invii in massa: il modulo accetta al massimo 5 invii ogni 10 minuti dallo stesso indirizzo IP e ha un campo nascosto che ferma i robot. Annotare gli invii rifiutati e quelli la cui mail non è partita, senza i tuoi dati.	Art. 6, par. 1, lett. f) GDPR: legittimo interesse mio (vedi sotto).
Tenere al sicuro il sito e il server con i log tecnici, trovare e correggere guasti e abusi.	Art. 6, par. 1, lett. f) GDPR: legittimo interesse mio (vedi sotto).
Tenere la storia della tua richiesta per 24 mesi dall'ultimo contatto, per riprendere il discorso senza farti ripetere tutto e, se serve, per difendermi in caso di contestazioni.	Art. 6, par. 1, lett. f) GDPR: legittimo interesse mio (vedi sotto).
Capire quale annuncio ha portato una richiesta dalla pagina dedicata ai siti web (GCLID, fonte, campagna, parola chiave).	Art. 6, par. 1, lett. f) GDPR: legittimo interesse mio (vedi sotto).

Non uso i tuoi dati per newsletter, per promozioni o per altro. Se un giorno volessi farlo, ti chiederei prima il consenso.

Il mio legittimo interesse, spiegato (art. 13, par. 1, lett. d)

Il modulo è aperto a tutti. Se non avesse difese, i robot e chi manda richieste a raffica lo renderebbero inutilizzabile e potrebbero danneggiare il sito. Ho quindi interesse a proteggerlo. Lo stesso vale per i log tecnici: il GDPR riconosce la sicurezza della rete e dei dati come interesse legittimo (considerando 49).
Per l'attribuzione delle campagne ho interesse a sapere se i soldi spesi in pubblicità portano richieste vere. Uso solo i dati dell'indirizzo della pagina, li leggo nella mail che ricevo, non li carico su Google Ads e non li uso per costruire profili su di te. Se un giorno volessi farlo, aggiornerei prima questa pagina.
L'impatto su di te è piccolo: l'IP resta solo nella memoria del programma per una decina di minuti, non va su disco e non lo uso per altro; nel registro del server finiscono solo un'impronta che non porta all'indirizzo e i nomi dei campi, i log servono solo alla sicurezza, i dati di campagna stanno nella mail che ricevo e nelle sue copie presso Resend (vedi punto 7).
Conservare la richiesta per 24 mesi mi serve per ripartire se decidi dopo molto tempo e, se serve, per difendermi. Dopo 24 mesi senza contatti cancello. Se vuoi che cancelli prima, chiedimelo.
Puoi opporti a questi trattamenti (vedi punto 10). Valuto ogni richiesta. Smetto, a meno che io dimostri motivi legittimi più forti dei tuoi interessi, o che mi servano per difendere un mio diritto.

4. Sei obbligato a darmi i dati?

No, nessuna legge ti obbliga. Però, senza i campi obbligatori dei moduli (nome, email, budget e, nel modulo Contatti, il tipo di servizio e la descrizione dell'obiettivo) non posso leggere né rispondere alla tua richiesta, e il modulo non parte. I campi facoltativi puoi lasciarli vuoti: rispondo lo stesso.

I log tecnici si creano da soli quando visiti il sito: senza, il sito non può funzionare in modo sicuro.

5. Chi riceve i dati

Non vendo né cedo i dati a nessuno. Li vedo io e li trattano questi fornitori. Agiscono per mio conto come responsabili del trattamento (art. 28 GDPR), in base a un contratto:

Resend (Plus Five Five, Inc., San Francisco, USA): il servizio con cui il sito spedisce le email. Fa partire la notifica che arriva a me con la tua richiesta e la conferma che arriva a te.
Google (Google Workspace): è il servizio di posta della mia casella, dove arriva e resta la tua richiesta. Per i clienti con indirizzo di fatturazione in Italia la società Google indicata nei termini è Google Cloud Italy S.r.l., Milano (vedi punto 6).
Hostinger (Hostinger International Ltd., Larnaca, Cipro): ospita il sito, gestisce la rete che lo serve (CDN) e conserva i log tecnici e il registro del server.

Se la tua richiesta diventa un incarico, ti darò un'informativa su quel rapporto. Se serve, i dati possono passare al mio commercialista per gli obblighi fiscali, che per legge devo rispettare.

Le autorità pubbliche possono chiedermi i dati solo nei casi previsti dalla legge.

6. Dati fuori dall'Unione europea

Alcuni dati escono dallo Spazio economico europeo (SEE). Ecco con quale garanzia.

Resend, Stati Uniti. In breve: i dati delle email vanno negli Stati Uniti e sono protetti dalle clausole tipo della Commissione europea. Resend conserva i dati negli Stati Uniti, anche quando l'invio parte da una regione europea, e anche i suoi fornitori sono lì (elenco dei fornitori di Resend). Il trasferimento avviene con le clausole contrattuali tipo contenute nel suo Data Processing Addendum, che fa parte dei suoi Termini di servizio. In più Resend aderisce al Data Privacy Framework UE-USA. Per alcuni dati tecnici Resend può agire come titolare autonomo: vedi la privacy policy di Resend. Riferimenti: clausole tipo, Decisione di esecuzione (UE) 2021/914 (art. 46, par. 2, lett. c, GDPR); Data Privacy Framework, Decisione di esecuzione (UE) 2023/1795 (art. 45 GDPR).
Hostinger. In breve: il server del sito è in Germania, nel SEE; i dati possono uscire dal SEE quando passano dalla rete che serve il sito (CDN), protetti dalle clausole tipo della Commissione europea. Hostinger International Ltd. ha sede a Cipro, nel SEE. La rete CDN di Hostinger risponde dal punto più vicino a chi visita e ha punti anche fuori dal SEE. Per i dati trasferiti verso un Paese che la Commissione europea non riconosce adeguato, la sezione 9 del DPA di Hostinger prevede le clausole contrattuali tipo della Commissione europea; lo stesso DPA non le applica quando il trasferimento si basa su un altro strumento riconosciuto, per esempio perché serve a fornire il servizio. I Paesi in cui Hostinger ha server sono nella sua pagina sulla tecnologia e nella sua privacy policy; l'elenco dei suoi fornitori è nel DPA. Riferimenti: Decisione di esecuzione (UE) 2021/914 (art. 46, par. 2, lett. c, GDPR).
Google. In breve: la posta può essere trattata anche fuori dal SEE; per gli Stati Uniti vale il Data Privacy Framework UE-USA, per gli altri Paesi le clausole tipo della Commissione europea. Per la posta uso Google Workspace. Google tratta i dati per mio conto in base al contratto di Workspace, che include per rimando l'addendum sul trattamento dei dati (Cloud Data Processing Addendum), senza un'accettazione separata. Per i clienti con indirizzo di fatturazione in Italia la controparte è Google Cloud Italy S.r.l., Via Federico Confalonieri 4, 20124 Milano (società contraenti di Google). Secondo l'addendum, Google può trattare i dati in ogni Paese in cui Google o i suoi fornitori hanno strutture (sedi dei data center). Google LLC aderisce al Data Privacy Framework, come indica nella pagina sulle garanzie per i trasferimenti; per gli altri Paesi non riconosciuti adeguati l'addendum applica le clausole tipo tra Google e i suoi fornitori. Riferimenti: Data Privacy Framework, Decisione di esecuzione (UE) 2023/1795 (art. 45 GDPR); clausole tipo (art. 46, par. 2, lett. c, GDPR).

Puoi avere una copia delle garanzie scrivendomi a luca@astrawebagency.it. I testi sono anche pubblici: Resend DPA, Hostinger DPA, Google Cloud Data Processing Addendum.

7. Per quanto tempo conservo i dati

Dato	Per quanto tempo
Richiesta dei moduli e relativa corrispondenza, se non diventa un incarico	24 mesi dall'ultimo contatto. Poi cancello le email e le copie che dipendono da me.
Richiesta che diventa un incarico	Per tutta la durata dell'incarico, insieme ai documenti del lavoro. Fatture e scritture contabili: 10 anni (art. 2220 Codice civile). Per l'incarico ti darò un'informativa a parte.
Copia delle email di notifica e di conferma presso Resend	Circa 30 giorni, secondo la documentazione di Resend. Se chiudo l'account, Resend cancella i dati entro 90 giorni.
Indirizzo IP per il limite agli invii	Resta solo nella memoria del programma, non va su disco. Viene tolto una decina di minuti dopo l'ultimo invio, e comunque a ogni riavvio.
Log tecnici del server	Per il tempo che Hostinger stabilisce per la sicurezza e il funzionamento del servizio. Nella sua documentazione (DPA, guida ai log di accesso) Hostinger non indica un numero di giorni. Non li copio altrove.
Registro del server: invii rifiutati e mail non partite (motivo o errore, nomi dei campi, impronta dell'IP). Non contiene nome, email, telefono né messaggio	Il registro riparte da zero a ogni nuova pubblicazione del sito, e posso svuotarlo io dal pannello di Hostinger. Per il file che resta sul server la guida di Hostinger al registro delle app Node.js non indica un numero di giorni.

Perché 24 mesi: chi chiede un preventivo a volte decide dopo molti mesi, e conservare la storia della richiesta mi permette di ripartire senza farti ripetere tutto. Dopo questo tempo il motivo viene meno e cancello. Se preferisci che cancelli prima, chiedimelo (vedi punto 10).

8. Che cosa non faccio

Non prendo decisioni basate solo su un trattamento automatico che producano effetti su di te e non faccio profilazione (art. 22 GDPR). Le difese anti-spam e la mail di conferma sono automatiche, ma non decidono niente su di te: le risposte e le proposte le scrivo io.
Non uso strumenti di misura delle visite né cookie di marketing.

Cookie: il sito non ne usa. Non ci sono né cookie di analisi né di marketing, quindi non vedi un banner.
Spazio locale del browser (localStorage): se premi "Ferma le animazioni", il tuo browser scrive astra-fermo con valore 1. Serve solo a ricordare la tua scelta nelle pagine successive. Resta sul tuo dispositivo, non lo ricevo e non lo uso per riconoscerti. È uno strumento tecnico che hai chiesto tu: per l'art. 122 del Codice e per le Linee guida del Garante sui cookie e altri strumenti di tracciamento del 10 giugno 2021 non serve il consenso. Lo cancelli premendo di nuovo il pulsante o dalle impostazioni del browser.
Servizi di terzi caricati dal browser: il sito non carica font, mappe, video o script da altri siti.
Link ad altri siti: i link ai siti dei miei clienti o alle fonti portano fuori dal mio sito. Chi li gestisce ha la propria informativa. Quando clicchi, al sito di arrivo passa solo il nome del mio sito (astrawebagency.it), non la pagina in cui ti trovavi.
Se in futuro attivo strumenti di misura (per esempio Google Analytics o Google Tag Manager), prima di accenderli aggiorno questa informativa e, dove serve, chiedo il tuo consenso con un banner.

10. I tuoi diritti

Puoi chiedermi in qualsiasi momento, scrivendo a luca@astrawebagency.it:

accesso (art. 15): sapere se tratto tuoi dati e averne una copia;
rettifica (art. 16): correggere dati sbagliati;
cancellazione (art. 17): far cancellare i dati, quando non servono più o il trattamento non è più dovuto;
limitazione (art. 18): fermare l'uso dei dati mentre verifico una contestazione;
portabilità (art. 20): avere i dati che mi hai dato in un formato di uso comune.

Diritto di opposizione. Per i trattamenti basati sul mio legittimo interesse (punto 3) puoi opporti in ogni momento, per motivi legati alla tua situazione. Smetto, a meno che io abbia motivi legittimi cogenti che prevalgono sui tuoi interessi, diritti e libertà, oppure mi servano per difendere un mio diritto (art. 21 GDPR).

Se correggo, cancello o limito dei dati, avviso chi li ha ricevuti da me, salvo che sia impossibile o richieda uno sforzo sproporzionato (art. 19).

Rispondo entro un mese. Se la richiesta è complessa o ne arrivano molte, posso prolungare di altri due mesi e te lo dico entro il primo mese (art. 12, par. 3). L'esercizio dei diritti è gratuito. Se ho dubbi su chi sei, posso chiederti un'informazione per identificarti (art. 12, par. 6).

Non uso il consenso come base giuridica, quindi non c'è un consenso da revocare.

11. Reclamo al Garante

Se pensi che io tratti i tuoi dati in modo non corretto, puoi presentare reclamo al Garante per la protezione dei dati personali (art. 77 GDPR e artt. 140-bis e seguenti del Codice privacy):

Piazza Venezia 11, 00187 Roma
garanteprivacy.it

Puoi anche rivolgerti al giudice (art. 79 GDPR). Per la stessa questione puoi scegliere una sola strada: se hai già fatto causa, non puoi più fare reclamo al Garante (art. 140-bis del Codice privacy). Se vivi in un altro Paese dell'Unione, puoi rivolgerti anche all'autorità del tuo Paese.

Mi farebbe piacere che prima mi scrivessi a luca@astrawebagency.it.

12. Minori

Il sito si rivolge a chi cerca un servizio per la propria attività. Non è pensato per i minori e non raccolgo di proposito i loro dati. Se pensi che un minore mi abbia scritto, avvisami e cancello.

13. Modifiche

Se cambio il modo in cui tratto i dati, aggiorno questa pagina e la data in alto. Le novità importanti, come l'attivazione di strumenti di misura, le metto in evidenza prima che inizino.