Privacy Policy

Titolare del trattamento

Il titolare del trattamento è Francesco Finelli, persona fisica residente in Italia, che gestisce questo sito. Per qualsiasi richiesta sui tuoi dati scrivi a [email protected]. Non è stato nominato un responsabile della protezione dei dati (DPO), perché il trattamento svolto da questo sito non rientra nei casi in cui l'art. 37 del Regolamento (UE) 2016/679 lo rende obbligatorio.

A cosa si applica questa informativa

Questa informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del Codice in materia di protezione dei dati personali (D.lgs. 196/2003, come modificato dal D.lgs. 101/2018). Riguarda il sito francescofinelli.me: pagine pubbliche, modulo di contatto, pagina dei feedback e aree riservate (amministratore e cliente). I dati dei progetti che gestisco per conto di terzi seguono regole diverse, descritte nella pagina Infrastruttura e trattamento dati.

Quali dati tratto, perché e con quale base giuridica

Il sito raccoglie solo i dati che servono a farlo funzionare, a rispondere a chi scrive e a proteggerlo dagli abusi. Non ci sono newsletter, strumenti di statistica, pixel pubblicitari o profilazione.

• Dati di navigazione: indirizzo IP, data e ora, pagina richiesta, codice di risposta, dimensione della risposta, pagina di provenienza (referrer) e user agent del browser. Vengono registrati nei log del server web e del proxy Cloudflare per consegnare le pagine, diagnosticare errori e difendere il sito da attacchi. Base giuridica: legittimo interesse alla sicurezza e al corretto funzionamento del servizio (art. 6.1.f GDPR).
• Limitazione dei tentativi: per login, verifica dei PIN e modulo di contatto il server conserva l'indirizzo IP con il numero di tentativi e l'ora dell'ultimo, e blocca nuove richieste dopo 5 tentativi in 15 minuti. Base giuridica: legittimo interesse alla sicurezza (art. 6.1.f).
• Sessione autenticata: un codice casuale salvato nel cookie ff_session e, sul server, il ruolo (amministratore o cliente), il PIN del progetto collegato e l'ora di creazione. Serve a tenere attivo l'accesso e a mostrare i contenuti giusti. Base giuridica: esecuzione del servizio che hai richiesto (art. 6.1.b) e sicurezza (art. 6.1.f).
• Area cliente: i dati del progetto che ti riguarda (stato, prossimi passi, consegne, note) sono mostrati solo a chi entra con il PIN di quel progetto. Base giuridica: esecuzione del contratto o di misure precontrattuali (art. 6.1.b).
• Feedback: nome, valutazione, testo, riferimento all'attività verificata con il PIN, conferma del consenso alla pubblicazione con data e ora. Il PIN non viene pubblicato. Nella pagina pubblica compaiono solo nome, valutazione, testo, progetto e data. Base giuridica: consenso (art. 6.1.a), revocabile in qualsiasi momento.
• Modulo di contatto: nome, indirizzo email, tipo di richiesta e testo del messaggio. Il server li inoltra come email tramite Resend e non li salva in un archivio proprio. Base giuridica: misure precontrattuali richieste da te (art. 6.1.b) e, per le richieste generiche, legittimo interesse a darti una risposta (art. 6.1.f).
• Email scritte direttamente: indirizzo, contenuto ed eventuali allegati dei messaggi inviati a un indirizzo @francescofinelli.me, per rispondere e svolgere le attività richieste. Base giuridica: art. 6.1.b e, per la corrispondenza generica, art. 6.1.f.

Il sito non chiede né tratta categorie particolari di dati (art. 9 GDPR): ti chiedo di non inserirle nei messaggi o nei feedback.

Cosa è obbligatorio e cosa no

I dati di navigazione sono indispensabili: senza, il server non può consegnarti la pagina. Modulo di contatto, email e feedback sono facoltativi, ma senza i campi richiesti (nome, email valida, messaggio) non posso rispondere né pubblicare la testimonianza. Il PIN serve solo a verificare che il feedback arrivi davvero da un'attività seguita: non viene mostrato pubblicamente né collegato al nome nella pagina dei feedback.

Per quanto tempo conservo i dati

Sessione

12 ore dalla creazione, o fino al logout.

Tentativi

Il blocco dura 15 minuti dall'ultimo tentativo; scaduto quel tempo il dato viene eliminato automaticamente alla successiva registrazione di un tentativo.

Feedback

Finché resta pertinente al portfolio, o fino alla tua richiesta di modifica, rimozione o revoca del consenso.

Modulo di contatto ed email

Fino a 24 mesi dall'ultimo messaggio scambiato, poi vengono cancellati. Se dalla richiesta nasce un rapporto di lavoro, per la sua durata e per i tempi imposti dalla legge (ad esempio 10 anni per le scritture contabili, art. 2220 c.c.).

Log del server web

14 giorni, poi vengono cancellati automaticamente.

Log di Cloudflare

Secondo i tempi stabiliti da Cloudflare per il proprio servizio.

Backup

Copie orarie per 3 giorni e copie giornaliere per 30 giorni, sul server e su un dispositivo di proprietà del titolare usato solo per ripristinare il sito in caso di guasto. Scaduti questi tempi vengono eliminate automaticamente.

A chi arrivano i dati

I dati sono trattati da me e dai fornitori tecnici che servono a far funzionare il sito, che agiscono come responsabili del trattamento vincolati da contratto (art. 28 GDPR):

• VexoHost di Giovanni Facchinetti (P. IVA IT02698680390, Cervia, Italia): fornisce il server virtuale su cui girano applicazione e database, in un data center nei Paesi Bassi. VexoHost si avvale di fornitori di rete e protezione dagli attacchi informatici, come descritto nella sua informativa.
• Cloudflare, Inc. (Stati Uniti): proxy, protezione e distribuzione dei contenuti davanti al dominio, comprese le funzioni descritte nella Cookie Policy.
• Resend (Plus Five Five, Inc., Stati Uniti): consegna come email i messaggi del modulo di contatto.
• Apple (servizio iCloud Mail): casella di posta personale del titolare, in cui arrivano i messaggi inviati con il modulo di contatto.
• Zoho Corporation B.V. (Paesi Bassi): casella di posta del dominio, sul servizio europeo zoho.eu.

I dati possono essere comunicati alle autorità quando lo impone la legge. Non vengono venduti né ceduti per finalità di marketing. I link a GitHub, Instagram, Discord, Telegram e ai siti dei progetti portano su servizi esterni solo dopo il clic: da quel momento si applicano le informative dei rispettivi gestori.

Trasferimenti fuori dall'Unione europea

Cloudflare e Resend hanno sede negli Stati Uniti e possono trattare lì i dati (Resend conserva negli Stati Uniti i dati dei messaggi inviati). Il trasferimento avviene sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023 sul quadro UE–USA per la protezione dei dati (EU–US Data Privacy Framework), a cui entrambe le società aderiscono, e delle clausole contrattuali standard della Commissione previste dai rispettivi accordi sul trattamento dei dati (art. 46.2.c GDPR). La decisione di adeguatezza è stata confermata dal Tribunale dell'Unione europea il 3 settembre 2025 (causa T-553/23); contro quella sentenza è pendente un ricorso davanti alla Corte di giustizia (causa C-703/25 P). Anche Apple, il cui servizio iCloud Mail riceve i messaggi del modulo di contatto, può trattare i dati fuori dall'Unione europea, con le garanzie previste dagli artt. 45 e 46 GDPR descritte nella sua informativa privacy. La casella di posta del dominio è ospitata sul servizio europeo di Zoho; Zoho fa parte di un gruppo con sedi anche fuori dall'Unione europea, e gli eventuali accessi da quei Paesi sono coperti dalle clausole contrattuali standard del suo accordo sul trattamento dei dati. Se la situazione cambia, questa sezione viene aggiornata.

Minori

Il sito non è rivolto ai minori di 14 anni. Chi ha meno di 14 anni non può prestare da solo il consenso alla pubblicazione di un feedback (art. 8 GDPR e art. 2-quinquies del Codice privacy) e non deve usare il modulo di contatto senza un genitore.

Niente profilazione né decisioni automatizzate

Non vengono effettuate profilazione, pubblicità comportamentale o decisioni automatizzate che producano effetti giuridici o incidano in modo analogo sulla persona (art. 22 GDPR). Il blocco temporaneo dopo 5 tentativi errati è una misura di sicurezza tecnica, non una valutazione sulla persona.

Misure di sicurezza

Il sito è servito solo su HTTPS. Il cookie di sessione è HttpOnly, SameSite=Lax e Secure, così non è leggibile da script né inviato a siti terzi. Login, verifica dei PIN e modulo di contatto hanno un limite di 5 tentativi ogni 15 minuti, e il modulo ha un campo nascosto che blocca gli invii automatici. L'accesso ai server avviene solo con chiave SSH. Le pagine sono servite con header di sicurezza (X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy) e il database ha backup orari. Sono le misure adeguate al rischio richieste dall'art. 32 GDPR per un sito di questa natura.

I tuoi diritti

Puoi chiedere l'accesso ai tuoi dati (art. 15), la rettifica (art. 16), la cancellazione (art. 17), la limitazione del trattamento (art. 18) e la portabilità quando applicabile (art. 20), oppure opporti ai trattamenti fondati sul legittimo interesse (art. 21). Se il trattamento si basa sul consenso, come per i feedback pubblicati, puoi revocarlo quando vuoi, senza che questo tolga validità a quanto fatto prima della revoca (art. 7.3). Scrivi a [email protected]: rispondo entro un mese, prorogabile di due mesi nei casi complessi (art. 12.3). Puoi inoltre proporre reclamo al Garante per la protezione dei dati personali (art. 77) o rivolgerti all'autorità giudiziaria (art. 79).

Aggiornamenti di questa informativa

Se cambiano gli strumenti usati dal sito, questa pagina viene aggiornata e cambia la data in testa al documento. Le modifiche che incidono sui tuoi dati vengono segnalate in modo visibile nelle pagine interessate, non solo con una data nuova.