Informativa privacy

1Chi siamo

Questo sito è di Diginesso di Beerendonk Wesley Johannes Wijnand, impresa individuale di Wesley Beerendonk. Per i dati che questo sito tratta, Diginesso è titolare del trattamento ai sensi del Regolamento (UE) 2016/679 e del Codice Privacy italiano, il D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.

• Denominazione: Diginesso di Beerendonk Wesley Johannes Wijnand
• Forma giuridica: Impresa individuale, iscritta alla Camera di Commercio Toscana Nord-Ovest
• Sede: Piazza Guglielmo Marconi 6, 56046 Riparbella (PI), Italia
• Numero REA: PI-263609
• Partita IVA: IT02522840509
• E-mail: info@diginesso.com
• PEC: diginesso@pec.it

Per tutto quello che riguarda la privacy scrivi a info@diginesso.com. Arriva a me, Wesley Beerendonk, e rispondo io. Non c’è un responsabile della protezione dei dati: per un’attività di questa dimensione non è obbligatorio. Se cambia, lo leggi qui.

2In parole semplici

Per chi non vuole leggere tutta la pagina, in cinque righe.

• Cosa raccolgo: quello che scrivi nel modulo di contatto, come sei arrivato (la pagina da cui è partita la visita e il sito o l’annuncio che ti ha mandato), i numeri delle visite senza cookie e le normali righe di log del server.
• Perché: per risponderti e per tenere il sito in funzione e sicuro.
• Per quanto tempo: la tua richiesta 24 mesi dopo il nostro ultimo contatto, le righe di log al massimo 30 giorni.
• A chi arrivano i dati: trovi i fornitori e le regioni qui sotto. Digi può comportare un’elaborazione negli Stati Uniti. Lo stesso varrà per la segnalazione delle conversioni a Google Ads, quando quel collegamento sarà attivo. Non vendo i tuoi dati.
• Come farlo cancellare: scrivi a info@diginesso.com e chiedimi di cancellarlo. Ti rispondo entro cinque giorni lavorativi.

3Due ruoli, tenuti separati

Su questo sito Diginesso è titolare del trattamento. Decido io quali dati raccoglie il sito e per cosa, e questa pagina riguarda quel ruolo, con un’eccezione che trovi più sotto.

In un progetto con un cliente Diginesso è responsabile del trattamento e il cliente è titolare. Allora sono i tuoi dati e il tuo processo, decidi tu per cosa vengono usati, e io faccio quello che c’è scritto nell’accordo di trattamento. Lo firmi prima che venga toccato un solo dato, e i sub-responsabili sono indicati con il loro nome.

Questa pagina quindi non riguarda i dati che tratto per te dentro un progetto. Quello sta nel tuo accordo di trattamento, e come lo imposto dal lato tecnico lo trovi nella pagina Sicuro ed europeo.

L’eccezione è la sezione sui dati utente di Google, alla fine di questa pagina. Google chiede che stia in questa informativa. Riguarda un account Google Ads che colleghi e in cui lavoro per conto tuo, e vale anche dentro un progetto con un cliente.

4Il modulo di contatto

Quando invii il modulo salvo:

• il tuo nome e il tuo indirizzo e-mail
• il nome della tua azienda, se lo scrivi
• il tuo messaggio
• la lingua in cui stavi leggendo e la pagina da cui hai inviato il modulo
• come sei arrivato: la pagina da cui è partita la tua visita, il sito che ti ha portato qui e le etichette di campagna se vieni da un annuncio o da una newsletter, compreso l’identificativo di clic di Google Ads
• il momento dell’invio

Il tuo indirizzo IP non viene salvato con la richiesta. Il modulo ha un campo invisibile che riempiono solo i bot. Se quel campo è pieno, non viene salvato niente.

Come sei arrivato viene registrato sulla prima pagina che apri, qualunque sia, e resta nella memoria di sessione del tuo browser per la durata della visita. Così è ancora lì quando arrivi al modulo, anche se prima ti guardi intorno. Sparisce quando chiudi la scheda. Nella pagina sui cookie trovi questa voce con nome e scopo.

Base giuridica: la preparazione di un contratto che avvii tu, ai sensi dell’art. 6, par. 1, lett. b) del GDPR, e il mio legittimo interesse a poter rispondere alle richieste di lavoro e a sapere da dove arrivano, lett. f).

Dove sta: nel mio database su Supabase a Francoforte. Inoltre mi arriva una notifica per e-mail tramite Resend in Irlanda, con gli stessi dati. Gli invii del modulo non vanno nei log del server e lì non ci sono.

Conservazione: 24 mesi dopo il nostro ultimo contatto, poi la riga viene cancellata. Se vuoi togliertela prima, scrivimi e la cancello.

Se sei arrivato da un annuncio Google

Allora con la tua richiesta viene salvato l’identificativo di clic di Google Ads. Serve a misurare la mia pubblicità.

L’integrazione con Google Ads è ancora in preparazione, e la segnalazione di conversione descritta qui non è ancora attiva. Fino ad allora niente della tua richiesta va a Google. Quando il collegamento sarà attivo, il mio server segnalerà una richiesta del genere come conversione all’account Google Ads di Diginesso, direttamente e senza passare dal tuo browser. Google riceverà allora l’identificativo di clic della tua prima visita, il tipo di conversione a cui corrisponde la tua richiesta, il momento di quella conversione e un valore, solo se ne ho impostato uno.

Della tua richiesta non andrà nient’altro: né il tuo nome, né l’indirizzo e-mail, né il nome dell’azienda, né il messaggio o un’eventuale conversazione di primo colloquio, e nemmeno un indirizzo e-mail o un numero di telefono in forma hash, né l’indirizzo IP. Se e quando una richiesta conta come conversione dipende da quanto è andata avanti con me. Quello stato resta a me: Google vede solo la conversione che ne risulta.

Google può collegare l’identificativo di clic al clic sull’annuncio da cui viene, ed è per questo che si tratta di un dato personale. Le conversioni che riceverà, Google le userà come titolare autonomo del trattamento, secondo i Google Ads Controller-Controller Data Protection Terms e l’informativa privacy di Google (policies.google.com/privacy).

Base giuridica: il mio legittimo interesse a sapere quali dei miei annunci portano richieste, ai sensi dell’art. 6, par. 1, lett. f) del GDPR.

Il tuo diritto di opposizione: puoi opporti a questa segnalazione in qualsiasi momento, anche prima che sia attiva, scrivendo a info@diginesso.com. Da quel momento non segnalo la tua richiesta a Google.

Nel tuo browser non c’entra nessun cookie e nessun tag di Google. L’identificativo di clic sta solo nella memoria di sessione del tuo browser, finché non chiudi la scheda, come descritto sopra. La pagina sui cookie descrive questa voce e le regole che valgono in questo caso. Google è un’azienda americana, e quando la segnalazione sarà attiva questi dati potranno essere trattati fuori dall’UE. Ne parlo nella sezione sui trasferimenti fuori dall’UE.

5Il primo colloquio con Digi

Quando Digi è disponibile, parli con un’AI. Lo dice il primo messaggio. Wesley legge la conversazione dopo che la invii e risponde di persona. Base giuridica: misure precontrattuali su tua richiesta.

Dopo quattro domande, le tue risposte passano da Vercel AI Gateway a Anthropic, PBC per un breve riepilogo. Questi fornitori americani possono elaborare il testo negli Stati Uniti. Il nome e l’email dell’ultimo passaggio non vengono inviati al modello. I dati personali che inserisci nelle risposte vengono invece trasmessi.

Digi richiede al Gateway un’elaborazione senza addestramento dei modelli e con zero data retention. Se non è disponibile un percorso compatibile, la richiesta non va a buon fine. Prima di attivare Digi, verifico gli accordi di trattamento e le garanzie per i trasferimenti negli Stati Uniti, comprese le clausole contrattuali standard applicabili e una valutazione del trasferimento.

Salvo la trascrizione con la tua richiesta in Supabase solo quando invii la conversazione con i tuoi recapiti. Resend può inviarmi una notifica con la trascrizione. Non salvo le conversazioni incomplete nel database. La chat resta solo nella memoria della pagina aperta.

Conservazione: la conversazione salvata e la relativa richiesta vengono cancellate 24 mesi dopo l’ultimo contatto. La pianificazione che esegue questa cancellazione in automatico è ancora da configurare. Aggiorno la data dopo ulteriori contatti. Puoi chiedere la cancellazione anticipata.

6E-mail e appuntamenti

Se mi scrivi a info@diginesso.com, il tuo indirizzo e il contenuto di quella mail stanno nella mia casella, come in qualsiasi casella di posta aziendale.

Base giuridica: la preparazione o l’esecuzione di un contratto, e il mio legittimo interesse a essere raggiungibile per lavoro.

Conservazione: la corrispondenza di lavoro 24 mesi dopo il nostro ultimo contatto. La posta che riguarda un incarico firmato la tengo per il tempo richiesto dagli obblighi contabili italiani, cioè dieci anni.

Su questo sito non c’è nessuno strumento per prenotare appuntamenti. Un colloquio lo fissiamo per e-mail, quindi non c’è nessuna agenda online che vede qualcosa di tuo.

7Numeri delle visite

Misuro con Plausible, un servizio europeo che lavora senza cookie. Sul tuo dispositivo non viene messo niente e non viene costruito nessun profilo. Non sei riconoscibile e non puoi essere seguito da un sito all’altro.

Quello che viene contato: quale pagina è stata vista, da quale sito arrivi, da quale paese, e che tipo di dispositivo e browser usi. Il tuo indirizzo IP serve a stabilire il paese e dopo non viene conservato.

Conto anche qualche azione, per esempio un clic su un pulsante di contatto. In quei conteggi non c’è nessun dato personale.

Base giuridica: legittimo interesse, cioè sapere se il sito fa il suo lavoro. Non serve il consenso, perché sul tuo dispositivo non viene salvato niente e i numeri non riportano a te. Quello che invece finisce sul tuo dispositivo lo trovi nella pagina sui cookie.

8Log e sicurezza

Il server tiene le normali righe di log: l’ora, il percorso richiesto, il codice di stato, il tipo di browser e l’indirizzo IP da cui è arrivata la richiesta. Fa parte del far funzionare un sito ed è così che si vedono guasti e abusi.

Base giuridica: legittimo interesse, cioè tenere il sito in piedi e sicuro.

Conservazione: non più di 30 giorni.

Le password e le chiavi stanno in una cassaforte separata. Non nel codice e non in una chat. In transito tutto passa da una connessione cifrata. All’ambiente di produzione arrivo io, con autenticazione a due fattori, e i sistemi che fanno il lavoro. Dietro di me non c’è una squadra che guarda. Ogni volta che una persona o un processo arriva all’ambiente di produzione, resta nel registro.

9Fornitori

Digi usa anche Vercel AI Gateway e Anthropic, PBC. Ricevono le tue risposte per il riepilogo. Questa elaborazione può avvenire negli Stati Uniti, fuori dalle regioni UE per hosting e archiviazione. La sezione su Digi descrive le condizioni per l’attivazione.

Questi sono tutti quelli che vedono qualcosa dei dati di questo sito. Nella pagina Sicuro ed europeo c’è la stessa lista per un progetto con un cliente, con più spiegazioni. Un’informativa deve essere completa da sola, quindi la lista è anche qui.

Chi non c’è: sul sito non c’è nessun pixel pubblicitario, nessun pixel di Meta, nessun tag di LinkedIn, nessuna registrazione di sessione e nessuna heatmap. Sul sito non c’è nemmeno un tag di Google. Quando la segnalazione delle conversioni sarà attiva, andrà direttamente dal mio server a Google Ads. I caratteri tipografici viaggiano con il sito, quindi il tuo browser non scarica niente da Google Fonts. Se si aggiunge qualcosa, compare qui prima di essere attivato.

10Trasferimenti fuori dall’UE

Digi usa anche Vercel AI Gateway e Anthropic, PBC. Ricevono le tue risposte per il riepilogo. Questa elaborazione può avvenire negli Stati Uniti, fuori dalle regioni UE per hosting e archiviazione. La sezione su Digi descrive le condizioni per l’attivazione.

Vercel, Supabase e Resend sono aziende americane. Hosting e archiviazione usano le regioni UE indicate sopra. Per Digi vale l’eccezione appena descritta.

Per tutte e tre vale la stessa cosa: un accordo di trattamento con le clausole contrattuali standard della Commissione europea e le misure che vi sono previste. Per Sanity i contenuti stanno nell’ambiente europeo, e dove il fornitore ha sede fuori dall’UE valgono le stesse clausole.

Anche Google è un’azienda americana. Quando la segnalazione di conversione descritta nella sezione sul modulo di contatto sarà attiva, Google riceverà quei dati, che potranno essere trattati fuori dall’UE. Rientreranno nei Google Ads Controller-Controller Data Protection Terms, i termini sulla protezione dei dati che Google prevede per Google Ads, che comprendono le clausole contrattuali standard della Commissione europea.

La parte onesta: se un’autorità americana possa pretendere qualcosa da una controllata europea è una domanda a cui i giuristi rispondono in modi diversi, e non faccio finta che sia chiusa. Per ogni fornitore ho messo per scritto quali dati sono coinvolti e quali misure ci stanno davanti. Se vuoi vedere quella valutazione, scrivimi.

Se si tratta di un progetto e questo rischio per te è troppo, la variante solo UE è nella pagina Sicuro ed europeo.

11Tempi di conservazione

Per tipo di dato, con un numero accanto.

12I tuoi diritti

Hai questi diritti, e non devi dare una motivazione:

• accesso: chiedere quali dati ho su di te
• rettifica: far correggere qualcosa che non torna
• cancellazione: far cancellare i tuoi dati
• limitazione: far sospendere l’uso mentre si chiarisce qualcosa
• opposizione: opporti all’uso basato sul legittimo interesse
• portabilità: ricevere i tuoi dati in un file leggibile

Scrivi a info@diginesso.com. Ti rispondo entro cinque giorni lavorativi e chiudo la cosa entro un mese al massimo, come chiede il GDPR. Se serve più tempo, te lo dico prima che il mese finisca, con il motivo.

Se non sei soddisfatto di come la gestisco, puoi presentare un reclamo a un’autorità di controllo. Diginesso ha sede in Italia, quindi l’autorità capofila è il Garante per la protezione dei dati personali a Roma (garanteprivacy.it). Puoi anche rivolgerti all’autorità del paese in cui vivi: la scelta è tua, e un reclamo nel tuo paese vale allo stesso modo.

13Decisioni automatizzate

Su questo sito niente prende una decisione su di te. Non c’è profilazione, non c’è un punteggio e non c’è nessun rifiuto automatico. La tua richiesta la leggo io.

Se parli con Digi, quella conversazione valuta il tuo processo, non te.

14Minori

Questo è un servizio per aziende, rivolto a chi fa impresa e non ai bambini. Non raccolgo consapevolmente dati di minori. Se pensi che un minore mi abbia mandato qualcosa, scrivimi e lo togliamo.

15Dati utente di Google

Questa sezione sta in piedi da sola e si legge anche separatamente. Riguarda l’integrazione con Google Ads: chi ha un account Google Ads lo collega a Diginesso dalla schermata di consenso di Google stessa, e poi Diginesso lavora in quell’account per conto del titolare. Vale solo se colleghi così un account Google Ads. Se non lo fai, non c’è nessun dato utente di Google che ti riguarda.

Google chiede che sia l’informativa stessa a descrivere cosa succede a questi dati, quindi è descritto qui per intero, anche quando il collegamento fa parte di un progetto con un suo accordo di trattamento. Cosa fa l’integrazione lo trovi nella pagina sull’integrazione con Google Ads. L’integrazione è ancora in preparazione, e finora non è collegato nessun account Google Ads.

Quali dati utente di Google consulto

L’integrazione chiede a Google un solo permesso, lo scope OAuth https://www.googleapis.com/auth/adwords, e nient’altro. È lo scope della Google Ads API. Con quello, nell’account Google Ads che colleghi, l’integrazione arriva a:

• l’ID cliente dell’account e il suo nome
• la valuta e il fuso orario dell’account
• come si collegano tra loro campagne, gruppi di annunci, parole chiave e annunci
• le campagne e le loro impostazioni
• i gruppi di annunci
• le parole chiave, comprese quelle escluse
• gli annunci
• i budget
• i dati di rendimento: costi, clic e impressioni
• le azioni di conversione, il numero e il valore delle conversioni
• le idee per le parole chiave con i volumi di ricerca e gli intervalli di offerta dal Keyword Planner, nella valuta dell’account. Sono dati aggregati di Google sulle ricerche, ottenuti tramite il tuo collegamento, e non dati su di te.

A cosa l’integrazione non accede:

• Gmail
• Google Drive
• Google Calendar
• Google Contatti
• il profilo del tuo account Google, cioè nome, indirizzo e-mail e foto. Non c’è un “Accedi con Google”.
• altri servizi o dati Google al di fuori di Google Ads

Quei permessi non li chiedo, quindi l’integrazione non può arrivare a quei dati.

Per cosa li uso

Solo per queste funzioni, e solo nell’account che colleghi:

• Report: leggere come vanno le tue campagne, cioè costi, clic, impressioni e conversioni, e fartelo sapere.
• Gestione delle campagne: creare e modificare campagne, budget, gruppi di annunci, parole chiave e annunci.
• Ricerca delle parole chiave: idee dal Keyword Planner di Google, con volumi di ricerca e intervalli di offerta, per le campagne che vuoi fare.

Le modifiche avvengono solo su tua indicazione: nel tuo account non viene creato né cambiato niente che tu non abbia chiesto.

Non c’è nessun altro uso dei tuoi dati utente di Google.

Lo stesso scope ha un altro uso, che non tocca il tuo account: segnalare come conversioni, nell’account Google Ads di Diginesso, le richieste arrivate a questo sito tramite un annuncio Google. Riguarda i visitatori di questo sito, ne è titolare Diginesso, ed è descritto sopra, nella sezione sul modulo di contatto.

Con chi li condivido

Con nessuno, a parte i fornitori che servono a far funzionare l’integrazione: Vercel fa girare l’applicazione e Supabase tiene il database. Sono nella lista dei fornitori qui sopra, con la regione. Se ricevi un report per e-mail, quella mail passa da Resend.

Per il resto, solo se la legge me lo impone, o se un giorno Diginesso viene fusa o venduta, e in quel caso solo con il tuo consenso esplicito prima. Nessuna vendita, nessuna rivendita, nessuna rete pubblicitaria e nessun broker di dati.

Come li proteggo

I token di accesso che rilascia Google sono conservati cifrati. Le chiavi stanno in una cassaforte separata, non nel codice e non in una chat. All’ambiente di produzione arrivo io, con autenticazione a due fattori, e i sistemi che fanno il lavoro. In transito tutto passa da una connessione cifrata, e ogni volta che una persona o un processo arriva all’ambiente di produzione resta nel registro.

Conservazione, e come chiudi il collegamento

I token, e i dati Google Ads conservati per il tuo collegamento, restano finché il collegamento è attivo.

Puoi chiudere il collegamento in qualsiasi momento:

• nel tuo account Google, su https://myaccount.google.com/linkedapps, dove trovi le app con accesso al tuo account. I token smettono subito di funzionare.
• scrivendo a info@diginesso.com. Poi revoco io l’accesso presso Google.

Il collegamento si chiude anche quando finisce il nostro lavoro insieme, e anche allora revoco io l’accesso presso Google. In ogni caso, quello che ho ancora, i token e i dati Google Ads del collegamento, lo cancello entro 30 giorni.

Le copie nei backup del database spariscono man mano che quei backup vengono sostituiti, con i tempi della tabella sulla conservazione qui sopra.

Limited Use

L’uso da parte di Diginesso delle informazioni ricevute dalle API di Google, e il loro trasferimento ad altre app, rispettano il Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), compresi i requisiti Limited Use.

In concreto vuol dire questo:

• I dati utente di Google vengono usati solo per le funzioni qui sopra, quelle che usi tu.
• Vanno ad altri solo se serve per fornire quelle funzioni, per rispettare la legge, o in caso di fusione, acquisizione o vendita di Diginesso, e in quest’ultimo caso solo con il tuo consenso esplicito prima.
• Nessuna persona legge i dati, tranne che con il tuo consenso esplicito per dati precisi, per esempio quando mi chiedi di guardare una campagna, per motivi di sicurezza come indagare un abuso, per rispettare la legge, o in forma aggregata e anonima per la gestione interna.
• I dati non vengono usati per mostrare o indirizzare pubblicità, né per Diginesso né per altri, nemmeno per remarketing o pubblicità basata sugli interessi. Gli unici annunci che toccano sono le campagne nel tuo account, modificate su tua indicazione.
• I dati non vengono venduti né rivenduti.
• I dati non vengono usati per sviluppare, addestrare o migliorare modelli di AI o di machine learning di uso generale.

16Modifiche e versioni

Se l’impostazione cambia, aggiorno questa pagina prima che il cambiamento entri in vigore. È la stessa promessa che c’è nella pagina Sicuro ed europeo.