Informativa privacy — landing di prelancio MetaDex
Titolare
Il titolare del trattamento è Lorenzo Vignati, Via Giovanni Pascoli 38, 21057 Olgiate Olona (VA), Italia, P.IVA 03831120120.
Contatto elettronico: contatti@metadex.online.
È possibile indirizzare richieste anche al recapito postale indicato.
Ambito e dati trattati
Questa informativa riguarda il sito di presentazione di MetaDex, composto dalla pagina iniziale e da questa informativa, e le comunicazioni inviate al titolare. Gli avvisi di apertura sono disattivati: non è presente un modulo per raccogliere indirizzi email.
La consultazione comporta comunque il trattamento di dati tecnici necessari alla connessione e alla gestione del servizio:
- indirizzo IP del dispositivo;
- informazioni sul browser e sul sistema inviate con la richiesta (user agent);
- data e ora, indirizzo della pagina richiesta ed esito della richiesta;
- pagina di provenienza, se il browser la comunica.
Gli indirizzi delle pagine richieste possono comprendere parametri aggiunti dal visitatore o da collegamenti esterni: anche questi fanno parte dei dati tecnici della richiesta.
Finalità e base giuridica
I dati tecnici sono utilizzati per rendere disponibili le pagine, gestire il funzionamento del sito e proteggerlo da abusi e attacchi informatici. A questo scopo il fornitore di hosting applica in modo automatico misure contro il traffico anomalo, che possono verificare o bloccare richieste sospette.
La base giuridica è il legittimo interesse del titolare (art. 6, par. 1, lett. f), del Regolamento (UE) 2016/679, «GDPR»): rendere accessibile la presentazione del progetto e garantirne il funzionamento e la sicurezza.
La trasmissione dei dati tecnici è necessaria per ricevere le pagine: senza di essi la consultazione non è possibile.
Il titolare non adotta decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogo significativamente sugli interessati.
Hosting e destinatari
Il sito è ospitato e distribuito da Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, Stati Uniti. Secondo il proprio Data Processing Addendum, Vercel tratta i dati personali con due ruoli distinti:
- come responsabile del trattamento, per conto del titolare, per i dati personali che elabora nel fornire il servizio al titolare (nel DPA, «Customer Data»);
- come titolare autonomo, per i dati di utilizzo e i metadati generati dall’uso del servizio, quando sono dati personali (nel DPA, «Service-Generated Data»), secondo la propria Privacy Notice.
Uno stesso dato tecnico, come l’indirizzo IP o una voce di un registro delle richieste, può essere trattato nell’uno o nell’altro ruolo, a seconda del trattamento svolto dal fornitore. La Privacy Notice indica anche la ricostruzione di una posizione approssimativa (città e paese) a partire dall’indirizzo IP.
Vercel si avvale di sub-responsabili, elencati nel proprio Trust Center. Oltre al fornitore di hosting e ai suoi sub-responsabili, i dati tecnici non sono comunicati ad altri destinatari, salvo obblighi di legge.
Trasferimenti fuori dallo Spazio economico europeo
L’infrastruttura di Vercel comporta trattamenti fuori dallo Spazio economico europeo, in particolare negli Stati Uniti, dove si trovano le principali strutture di trattamento del fornitore.
Vercel Inc. aderisce all’EU-U.S. Data Privacy Framework, oggetto della decisione di adeguatezza della Commissione europea (decisione di esecuzione (UE) 2023/1795; art. 45 del GDPR). L’adesione e la sua validità sono verificabili nell’elenco ufficiale dei partecipanti.
Il Data Processing Addendum di Vercel incorpora inoltre le clausole contrattuali tipo approvate dalla Commissione con la decisione di esecuzione (UE) 2021/914 (art. 46, par. 2, lett. c), del GDPR). Il loro testo, con gli allegati, è disponibile nell’accordo pubblicato da Vercel.
Conservazione
I dati tecnici sono elaborati da Vercel, per conto del titolare, al momento di ciascuna richiesta, per consegnare la pagina.
Il titolare non esporta i registri del servizio di hosting e non ne conserva copie.
Una parte dei dati tecnici confluisce nei registri e nelle statistiche di traffico del servizio di hosting, che il titolare consulta solo per verificare il funzionamento e la sicurezza del sito: per esempio l’indirizzo della pagina con i relativi parametri, la data e l’ora, l’esito della richiesta, lo user agent e, nelle viste dedicate alla sicurezza, l’indirizzo IP. Con la configurazione attuale del servizio il titolare può consultare i registri delle richieste e i dati di osservabilità per un giorno e le statistiche di traffico relative alla sicurezza per le ultime 24 ore. Questi periodi riguardano la consultazione da parte del titolare e non coincidono necessariamente con la conservazione presso il fornitore.
Il fornitore non indica un periodo di conservazione diverso da quello di consultazione.
Alla cessazione del servizio, il Data Processing Addendum di Vercel prevede che il fornitore cancelli i dati personali trattati per conto del titolare entro un termine commercialmente ragionevole, salvo che la legge ne imponga la conservazione.
Per i dati che tratta come titolare autonomo, Vercel dichiara nella propria Privacy Notice di conservarli per il periodo minimo necessario ad adempiere obblighi legali e contrattuali, sviluppare i propri siti e servizi, risolvere controversie, far valere i propri diritti e per legittime finalità aziendali, e di cancellarli o renderli anonimi quando non ne ha più necessità. Il Data Processing Addendum prevede inoltre che Vercel possa conservare i dati personali generati dall’uso del servizio anche dopo la cessazione, per le finalità indicate nell’accordo, e che li renda anonimi o li cancelli quando non le sono più necessari.
Comunicazioni al titolare
Chi scrive al titolare, al contatto elettronico o al recapito postale, gli comunica i dati contenuti nel messaggio: di regola nome, indirizzo, testo ed eventuali allegati. Per i messaggi elettronici si aggiungono i dati tecnici del messaggio, come mittente, data e server di invio. Si invita a non inviare dati non necessari alla richiesta, in particolare dati di altre persone o dati appartenenti a categorie particolari (art. 9 del GDPR).
I dati sono usati per rispondere e per gestire la richiesta. La base giuridica dipende dal tipo di richiesta:
- per le richieste di esercizio dei diritti, l’adempimento degli obblighi del titolare (art. 6, par. 1, lett. c), e artt. 12–22 del GDPR);
- per le altre comunicazioni, il legittimo interesse del titolare a ricevere i messaggi che gli sono inviati e a rispondere (art. 6, par. 1, lett. f), al quale è possibile opporsi.
I messaggi elettronici sono ricevuti e conservati con il servizio Zoho Mail. Secondo la propria Privacy Policy, Zoho tratta il contenuto della casella come responsabile del trattamento, secondo le istruzioni del cliente, e tratta come titolare autonomo altre informazioni descritte nella stessa Privacy Policy, come i dati di accesso e di utilizzo del servizio.
Il servizio esegue sui messaggi controlli di sicurezza, come la scansione antivirus e il filtro antispam. Il personale di Zoho può accedere ai messaggi solo in casi limitati, per esempio per risolvere errori o verificare messaggi segnalati come spam; secondo il fornitore, questi accessi sono riservati a persone determinate e sono registrati.
L’account Zoho Mail del titolare si trova nel data center europeo del fornitore. Per questi account Zoho dichiara che i dati sono conservati e trattati nell’Unione europea, ma che in rari casi possono essere consultati dal personale della propria società indiana per assistenza tecnica, sulla base di clausole contrattuali tipo; alcune funzioni facoltative possono comportare trasferimenti a fornitori fuori dall’Unione, previa autorizzazione esplicita dell’utente (domande frequenti sulla privacy di Zoho).
Oltre al titolare e al fornitore della casella, i messaggi non sono comunicati ad altri, salvo obblighi di legge.
Le comunicazioni ordinarie sono conservate fino a 12 mesi dall’ultimo scambio e cancellate prima, quando non servono più per gestire la richiesta o i suoi seguiti. Le richieste di esercizio dei diritti, con le risposte e le eventuali verifiche dell’identità, sono conservate solo per quanto serve a dimostrare di avervi dato seguito. Una conservazione più lunga riguarda solo i messaggi necessari, quando è in corso una contestazione o lo richiede la legge. Gli allegati non necessari sono eliminati alla chiusura della richiesta.
L’intervallo di pulizia automatica di Spam e Cestino è impostato a 30 giorni. Secondo la documentazione Zoho, la pulizia considera la data di ricezione dei messaggi e l’intervallo configurato: non equivale necessariamente a 30 giorni trascorsi dal loro spostamento nel cestino. Per i messaggi rimossi dal cestino, Zoho dichiara un ulteriore periodo di conservazione sui propri server di 30 giorni, durante il quale è previsto il recupero secondo le modalità del fornitore; al termine ne dichiara l’eliminazione definitiva.
Diritti
Nei casi e alle condizioni previsti dal GDPR è possibile chiedere l’accesso ai dati personali (art. 15), la rettifica (art. 16), la cancellazione (art. 17) e la limitazione del trattamento (art. 18). È possibile inoltre opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare, ai trattamenti basati sul legittimo interesse (art. 21).
I dati tecnici non sono associati dal titolare a un nominativo: per dare seguito a una richiesta può essere necessario fornire informazioni aggiuntive che consentano di individuare i dati che riguardano chi la presenta (artt. 11 e 12 del GDPR).
L’esercizio dei diritti è di regola gratuito (art. 12, par. 5, del GDPR). Il titolare risponde senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta; il termine può essere prorogato di due mesi nei casi previsti dall’art. 12, par. 3.
Le richieste si possono inviare al contatto elettronico o al recapito postale indicati nella sezione «Titolare».
È possibile proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo dello Stato membro in cui si risiede abitualmente, si lavora o si è verificata la presunta violazione (art. 77 del GDPR).
Aggiornamenti
L’attivazione degli avvisi di apertura o di altre funzionalità richiederà una revisione dell’informativa prima dell’avvio dei relativi trattamenti. Stato, versione, data di preparazione e data di efficacia sono indicati in testa a questa pagina.