Privacy Policy

Ultimo aggiornamento: 5 Agosto 2026
Versione: 5.0
Versione precedente: 3 Agosto 2026 (v4.1)

La presente Privacy Policy descrive le modalità con cui il sito www.andreapiani.com (di seguito "Sito") raccoglie, utilizza, conserva e protegge i dati personali degli utenti, in conformità con:

• Regolamento (UE) 2016/679 ("GDPR") relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali;
• D.Lgs. 196/2003 ("Codice della Privacy") come modificato dal D.Lgs. 101/2018;
• Direttiva ePrivacy 2002/58/CE e relative linee guida del Garante Privacy in materia di cookie (Provv. 10 giugno 2021);
• Regolamento (UE) 2022/2065 ("Digital Services Act") per gli obblighi di trasparenza dei servizi digitali.

1. Definizioni

Ai fini della presente informativa si intende per:

• Dato personale: qualsiasi informazione riguardante una persona fisica identificata o identificabile (Art. 4.1 GDPR).
• Trattamento: qualsiasi operazione effettuata su dati personali (raccolta, registrazione, organizzazione, conservazione, consultazione, uso, comunicazione, cancellazione, ecc.).
• Titolare del Trattamento: la persona fisica o giuridica che determina finalità e mezzi del trattamento. In questo caso: Andrea Piani.
• Responsabile del Trattamento: il fornitore esterno che tratta i dati per conto del Titolare (es. provider di hosting Vercel, Google).
• Interessato: la persona fisica cui si riferiscono i dati personali (l'utente del Sito).
• Consenso: manifestazione di volontà libera, specifica, informata e inequivocabile.
• Profilazione: qualsiasi forma di trattamento automatizzato volto a valutare aspetti personali (Art. 4.4 GDPR).

2. Tipologie di Dati Raccolti

2.1 Dati Forniti Volontariamente dall'Utente

Quando compili un form di contatto o richiesta preventivo/brief/audit sul Sito, possono essere raccolti i seguenti dati, digitati direttamente da te:

• Nome e cognome
• Indirizzo email
• Numero di telefono con prefisso internazionale
• Azienda / Partita IVA (opzionale)
• Descrizione del progetto e altre informazioni tecniche

Quando premi il pulsante di invio di un modulo, questi dati vengono trasmessi a una funzione serverless del Sito (/api/lead, eseguita sull'infrastruttura Vercel) che li inoltra immediatamente via email al Titolare attraverso il servizio di invio transazionale Resend. Contestualmente, gli stessi dati sono utilizzati per pre-compilare un messaggio WhatsApp che puoi scegliere se inviare o meno. Il funzionamento completo è descritto al §5: leggilo prima di compilare un modulo.

Nessun database è presente: i dati non sono memorizzati su alcun server del Sito, ma transitano attraverso la funzione serverless e attraverso Resend per il solo tempo tecnico necessario alla consegna dell'email. La copia stabile risiede nella casella di posta del Titolare.

2.2 Dati Raccolti Automaticamente Durante la Navigazione

Il Sito non effettua alcuna attività di analytics, tracciamento o profilazione: non esiste alcun endpoint statistico, alcun cookie di misurazione, né alcuna registrazione delle pagine visitate o dei click. La semplice navigazione del Sito non comporta la memorizzazione del tuo indirizzo IP da parte del Titolare.

Sono tuttavia trattati i seguenti dati tecnici:

• Log di connessione del provider di hosting (Vercel Inc.), che in qualità di responsabile del trattamento può registrare temporaneamente indirizzo IP e metadati della richiesta HTTP per le sole finalità di erogazione tecnica, sicurezza e prevenzione degli abusi. Tali log sono gestiti da Vercel secondo la propria informativa e non sono accessibili al Titolare in forma identificativa.
• Indirizzo IP in caso di invio di un modulo: la funzione /api/lead legge l'IP di provenienza della richiesta (header X-Forwarded-For) e lo mantiene in memoria volatile per 60 secondi al solo scopo di limitare il numero di invii per minuto e bloccare i flood automatizzati. L'IP non è scritto su disco, non è incluso nell'email inviata al Titolare e non è associato ai dati del modulo; viene perso alla terminazione dell'istanza serverless. Base giuridica: legittimo interesse alla sicurezza del servizio (Art. 6.1.f GDPR, Considerando 49).
• Campo esca anti-spam: nei moduli è presente un campo nascosto (honeypot) che gli utenti umani non vedono e non compilano. Se risulta compilato, l'invio è scartato. Non raccoglie alcun dato personale.

Nessuno di questi trattamenti produce profilazione o misurazione statistica del traffico.

2.3 Dati di Archiviazione Locale (localStorage / sessionStorage)

Il Sito utilizza meccanismi di archiviazione locale del browser (non cookie tradizionali) esclusivamente per salvare preferenze tecniche di interfaccia. Non vengono memorizzati identificatori di tracciamento.

localStorage (persistente):

• darkMode – preferenza tema scuro/chiaro (durata: persistente fino a cancellazione)

Questi dati restano sul tuo dispositivo e non vengono inviati al Titolare né a terze parti. Puoi rimuoverli in qualsiasi momento cancellando i dati del sito dal tuo browser.

3. Finalità del Trattamento e Base Giuridica

Finalità	Base giuridica (GDPR)	Conservazione
Risposta a richieste di preventivo / contatto commerciale	Esecuzione di misure precontrattuali su richiesta dell'interessato (Art. 6.1.b)	24 mesi dall'ultimo contatto, salvo conclusione contratto
Esecuzione di contratti di servizio	Esecuzione del contratto (Art. 6.1.b)	10 anni dalla conclusione (obblighi civilistici e fiscali)
Adempimenti fiscali e contabili	Obbligo legale (Art. 6.1.c) – normativa dello Stato di stabilimento del Titolare (Spagna: Ley 58/2003 General Tributaria art. 66; Código de Comercio art. 30) e, per i rapporti soggetti a normativa italiana, DPR 633/1972 e art. 2220 c.c.	6 anni dall'ultima registrazione contabile (10 anni per i rapporti soggetti a normativa italiana)
Invio newsletter e comunicazioni commerciali	Consenso esplicito e revocabile (Art. 6.1.a, Art. 7)	Fino a revoca del consenso
Erogazione tecnica del Sito e log di connessione del provider di hosting	Legittimo interesse (Art. 6.1.f) – CONSIDERANDO 49 GDPR (sicurezza e diagnostica)	Secondo le policy di conservazione del provider di hosting (Vercel)
Trasmissione del modulo di contatto al Titolare (funzione /api/lead + invio email tramite Resend)	Esecuzione di misure precontrattuali su richiesta dell'interessato (Art. 6.1.b)	Nessuna conservazione lato Sito (solo transito); l'email nella casella del Titolare segue i 24 mesi della prima riga
Sicurezza dei moduli e prevenzione degli abusi (limite di invii per IP, campo esca anti-spam)	Legittimo interesse (Art. 6.1.f) – protezione da invii automatizzati e flood	IP in memoria volatile per 60 secondi, mai scritto su disco
Difesa in giudizio e accertamento responsabilità	Legittimo interesse (Art. 6.1.f) o obbligo legale	Fino al termine prescrizione (max 10 anni)
Adempimento richieste di esercizio diritti GDPR	Obbligo legale (Art. 6.1.c)	5 anni dalla risposta (per prova adempimento)

4. Modalità di Trattamento e Tempi di Conservazione

I dati personali sono trattati con strumenti informatici e telematici, prevalentemente in modalità automatizzata, per il tempo strettamente necessario alle finalità per cui sono stati raccolti. Il trattamento è effettuato:

• ✓ Con accesso limitato al solo Titolare e ai responsabili autorizzati;
• ✓ Adottando misure di sicurezza tecniche e organizzative adeguate (vedi §11);
• ✓ Nel rispetto del principio di minimizzazione (Art. 5.1.c GDPR): raccogliamo solo i dati necessari;
• ✓ Nel rispetto del principio di limitazione della conservazione (Art. 5.1.e GDPR): cancellazione alla scadenza dei termini indicati in tabella §3.

Decorsi i termini di conservazione, i dati saranno cancellati o resi anonimi in modo irreversibile, salvo eventuali obblighi di legge ulteriori o esigenze di difesa in giudizio.

5. Moduli di Contatto: Cosa Succede Esattamente ai Tuoi Dati

5.1 Il percorso dei dati, passo per passo

1. Compilazione — mentre digiti, i dati restano nel tuo browser.
2. Invio — premendo il pulsante, uno script del Sito (assets/js/lead-capture.js) raccoglie i campi compilati e li trasmette in HTTPS alla funzione serverless /api/lead, eseguita sull'infrastruttura del provider di hosting Vercel.
3. Recapito — la funzione compone un'email e la consegna al Titolare tramite il servizio di posta transazionale Resend (Resend Inc., USA). L'email arriva sulla casella Gmail del Titolare. Se hai indicato un indirizzo email valido, esso è impostato come Reply-To del messaggio, così che il Titolare possa risponderti direttamente.
4. WhatsApp (facoltativo) — in parallelo, il browser apre WhatsApp con un messaggio precompilato. Questo passaggio è a tua scelta: se lo completi, il messaggio transita anche attraverso Meta Platforms Ireland Ltd. secondo la Privacy Policy di WhatsApp. Se non lo completi, il punto 3 è comunque già avvenuto.

5.2 Dove NON finiscono i dati

• Non esiste alcun database: i dati non sono archiviati né dalla funzione serverless né su alcun server del Sito. La sola copia stabile è l'email nella casella del Titolare.
• Non sono trasmessi a CRM, piattaforme di marketing automation o servizi di gestione moduli di terze parti.
• Non alimentano profilazione, punteggi automatici o liste per marketing: sono usati per rispondere alla tua richiesta e nulla più (vedi §7.1 e §10).

5.3 Base giuridica e conservazione

Il trattamento si fonda sull'esecuzione di misure precontrattuali su tua richiesta (Art. 6.1.b GDPR): compili un modulo per ricevere un preventivo o una risposta, e i dati servono esattamente a questo. Non è richiesto il tuo consenso per questa finalità, e per la stessa ragione non ti viene chiesto: quello che ti è dovuto è l'informazione, che trovi qui e in forma sintetica sotto ogni modulo.

L'email è conservata nella casella del Titolare per 24 mesi dall'ultimo contatto, salvo che dalla richiesta nasca un rapporto contrattuale (in tal caso valgono i termini della tabella al §3). Puoi chiederne la cancellazione in qualsiasi momento ai contatti indicati al §14: è sufficiente una email, non devi motivare la richiesta.

5.4 Destinatari coinvolti in questo flusso

• Vercel Inc. — esecuzione della funzione serverless (hosting);
• Resend Inc. — invio dell'email al Titolare;
• Google LLC / Google Ireland Ltd. — casella Gmail del Titolare che riceve l'email;
• Meta Platforms Ireland Ltd. — solo se completi volontariamente l'invio su WhatsApp.

Sedi, ruoli e garanzie per i trasferimenti extra-UE sono dettagliati ai §7 e §8.

6. Cookie e Tecnologie di Archiviazione Locale

Dal 5 agosto 2026 il Sito non installa alcun cookie. Fino a quella data era presente un unico cookie tecnico, cookie_consent, il cui solo scopo era ricordare la risposta data al banner: poiché il Sito non usa analytics né altri strumenti soggetti a consenso, quel banner poneva una domanda priva di oggetto ed è stato rimosso insieme al cookie. In assenza di strumenti di tracciamento, le linee guida del Garante 10/06/2021 non richiedono alcun banner. Non sono presenti cookie di profilazione né cookie analitici di terze parti.

Per l'elenco completo, durata, finalità e istruzioni per disabilitarli, consulta la nostra Cookie Policy.

Oltre al cookie tecnico, il Sito utilizza il localStorage del browser per salvare esclusivamente preferenze tecniche di interfaccia (es. tema scuro/chiaro – vedi §2.3). Tali dati restano sul tuo dispositivo e non costituiscono identificatori di tracciamento.

7. Comunicazione, Destinatari e Responsabili Esterni

I dati personali raccolti possono essere comunicati ai seguenti destinatari, nominati ove richiesto Responsabili del Trattamento ex Art. 28 GDPR:

Fornitore	Servizio	Sede	Privacy Policy
Vercel Inc.	Hosting del sito statico su CDN (erogazione tecnica, log di connessione per sicurezza/diagnostica)	USA (Covina, CA)	vercel.com/legal/privacy-policy
Resend Inc.	Invio dell'email generata dai moduli di contatto verso la casella del Titolare (posta transazionale). Tratta i dati del modulo per il solo tempo necessario alla consegna.	USA (Delaware)	resend.com/legal/privacy-policy
Meta Platforms Ireland Ltd. (WhatsApp)	Comunicazione via WhatsApp (invio volontario dei dati dei form da parte dell'utente)	Irlanda / USA	whatsapp.com/legal/privacy-policy-eea
Google LLC (Gmail)	Posta elettronica del Titolare	USA / Irlanda	policies.google.com/privacy
Commercialista / Studio fiscale	Adempimenti fiscali e contabili	Italia	Su richiesta

Categorie aggiuntive di destinatari: autorità giudiziarie, di pubblica sicurezza o altre autorità competenti, su richiesta legittima e nei limiti previsti dalla legge.

7.1 Nessuna diffusione né vendita

I dati personali non sono mai diffusi pubblicamente né venduti, ceduti o concessi in licenza a terze parti per finalità di marketing diretto, profilazione commerciale o data brokering.

8. Trasferimenti di Dati Extra-UE

Alcuni fornitori (vedi tabella §7) sono basati al di fuori dello Spazio Economico Europeo (SEE). Il trasferimento dei dati avviene sulla base delle seguenti garanzie:

8.1 Trasferimenti verso gli Stati Uniti

Gli unici trasferimenti extra-UE riguardano fornitori basati negli Stati Uniti:

• Vercel — hosting del Sito ed esecuzione della funzione serverless dei moduli;
• Resend — consegna dell'email generata dai moduli;
• Google (Gmail) — casella di posta del Titolare;
• Meta / WhatsApp — solo per i messaggi che l'utente sceglie di inviare.

Per tali trasferimenti la garanzia è basata su:

• ✓ Decisione di adeguatezza UE-USA Data Privacy Framework (Decisione di esecuzione UE 2023/1795 del 10 luglio 2023), per i fornitori certificati;
• ✓ Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea (Decisione 2021/914);
• ✓ Eventuali misure supplementari richieste a seguito della sentenza Schrems II (CGUE C-311/18).

Il Sito non effettua alcun trasferimento di dati verso paesi privi di decisione di adeguatezza (in particolare, non sono più presenti trasferimenti verso la Cina).

9. Diritti dell'Interessato (Artt. 15-22 GDPR)

In qualità di interessato, hai il diritto di:

10. Decisioni Automatizzate e Profilazione

Il Titolare NON adotta processi decisionali interamente automatizzati ai sensi dell'Art. 22 GDPR che producano effetti giuridici sull'interessato o incidano significativamente sulla sua persona. Ogni preventivo, contratto o decisione commerciale è valutato e firmato personalmente da Andrea Piani.

Il Sito non effettua profilazione degli utenti né alcuna attività di analytics o tracciamento (vedi §2.2). Allo stato attuale nessun servizio analitico di terze parti è attivo sul Sito (vedi Cookie Policy §3); l'eventuale attivazione futura sarà preceduta da aggiornamento dell'informativa e nuova raccolta del consenso.

11. Sicurezza dei Dati e Notifica Data Breach

Il Titolare adotta misure tecniche e organizzative adeguate (Art. 32 GDPR) per garantire un livello di sicurezza appropriato al rischio:

11.1 Misure tecniche

• ✓ Crittografia HTTPS/TLS 1.3 per tutte le comunicazioni client-server;
• ✓ Certificato SSL valido e aggiornato;
• ✓ Header di sicurezza HTTP attivi su tutte le pagine: Content-Security-Policy (che consente il caricamento di risorse dal solo dominio del Sito), X-Frame-Options: DENY, X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy (geolocalizzazione, fotocamera, microfono e pagamenti disabilitati) e Strict-Transport-Security;
• ✓ Zero risorse di terze parti: font, immagini, CSS e JavaScript sono serviti dal dominio del Sito, così che la navigazione non generi richieste verso server esterni;
• ✓ Architettura statica con una sola funzione serverless (/api/lead) e nessun database: la superficie di attacco resta minima e non esistono archivi di dati utente da violare;
• ✓ Protezione della funzione dei moduli: accettazione delle sole richieste provenienti dal dominio del Sito, limite di invii per indirizzo IP, campo esca anti-spam ed escape dei contenuti nell'email generata;
• ✓ Segreti fuori dal codice: le credenziali dei servizi (es. chiave API di Resend) risiedono nelle variabili d'ambiente del provider di hosting e non sono presenti nel codice sorgente pubblico del Sito;
• ✓ Misure di sicurezza perimetrali (WAF, anti-DDoS, protezione della rete CDN) gestite dal provider di hosting (Vercel);
• ✓ Aggiornamenti software tempestivi (librerie e dipendenze front-end).

11.2 Misure organizzative

• ✓ Accesso ai dati limitato al solo Titolare e a soggetti autorizzati con credenziali individuali;
• ✓ Autenticazione a due fattori (2FA) sugli account di gestione del Sito e dei servizi correlati;
• ✓ Password manager per la gestione sicura delle credenziali;
• ✓ Formazione continua sulle tematiche privacy e sicurezza informatica;
• ✓ Verifica periodica dei fornitori e dei loro standard di sicurezza.

11.3 Notifica violazione dei dati personali (Data Breach)

In caso di violazione dei dati personali ai sensi degli Artt. 33-34 GDPR, il Titolare:

• Notificherà il Garante Privacy entro 72 ore dalla conoscenza del fatto, ove la violazione presenti un rischio per i diritti e le libertà delle persone fisiche;
• Comunicherà la violazione direttamente agli interessati senza ingiustificato ritardo, qualora la violazione presenti un rischio elevato;
• Documenterà ogni violazione in apposito registro interno (Art. 33.5 GDPR).

12. Tutela dei Minori

I servizi del Sito non sono rivolti a minori di 14 anni (soglia italiana ex Art. 2-quinquies del Codice Privacy, inferiore ai 16 anni del GDPR di base). Non raccogliamo consapevolmente dati personali di minori senza il consenso del titolare della responsabilità genitoriale.

I servizi sono progettati per scopi B2B/professionali e non sono indirizzati a minori. Se vieni a conoscenza che un minore ha fornito dati personali tramite il Sito, contattaci immediatamente all'indirizzo andreapiani.dev@gmail.com per la cancellazione tempestiva.

13. Modifiche alla Privacy Policy

Questa Privacy Policy può essere aggiornata periodicamente per:

• Conformità a nuove disposizioni normative (UE, italiane o internazionali);
• Modifiche ai servizi offerti, ai fornitori utilizzati o alle tecnologie integrate;
• Recepimento di linee guida del Garante Privacy o dell'EDPB;
• Miglioramenti di trasparenza e chiarezza espositiva.

Le modifiche sostanziali saranno comunicate con preavviso, ove possibile via email agli utenti registrati o tramite avviso evidente sul Sito. La data di "Ultimo aggiornamento" in alto è sempre indicativa della versione vigente. Le versioni precedenti sono conservate dal Titolare e disponibili su richiesta.

Si consiglia di consultare periodicamente questa pagina per restare aggiornato.

14. Contatti, Reclami e Autorità di Controllo

← Torna alla Homepage