iadicola.it

Ultimo aggiornamento: 18 Giugno 2026.

Questa Privacy Policy descrive in modo trasparente quali dati raccogliamo, come, perché, dove vengono salvati e per quanto tempo, ai sensi del Regolamento (UE) 2016/679 ("GDPR") e del D.lgs. 196/2003 e successive modifiche. Il documento riflette l'effettivo comportamento del codice del sito al momento dell'ultimo aggiornamento.

1. Titolare del trattamento

Il titolare del trattamento dei dati è Luigi Salvatore Iadicola, con sede a Ercolano - Napoli, Campania. C.F. / P.IVA DCLLSL97L12F839D.

Per qualsiasi richiesta relativa al trattamento dei dati personali, è possibile contattare il titolare all'indirizzo [email protected].

2. Dati personali raccolti

Il sito raccoglie le seguenti categorie di dati, ognuna salvata in una tabella specifica del nostro database (PostgreSQL ospitato su Supabase — vedi §5).

2.1 Dati di contatto (form /contatti)

Quando un utente compila il form contatti raccogliamo: nome, indirizzo email, messaggio, eventuale categoria di richiesta, timestamp dell'invio e timestamp del consenso privacy esplicito. Il consenso è registrato come campo separato (privacy_consent_at) per dimostrabilità nel tempo.

2.2 Dati di iscrizione newsletter (form /newsletter + CTA in calce agli articoli)

Indirizzo email (obbligatorio), nome (facoltativo). Vengono inoltre congelati al momento della prima iscrizione l'IP, il timestamp e gli eventuali parametri UTM presenti nell'URL ("first-touch attribution") — utili per capire da quale canale è arrivato l'iscritto. Generiamo un token univoco per il link di disiscrizione presente in ogni email; conoscere il token equivale a possedere l'indirizzo, e quindi a poter disiscriversi senza login.

2.3 Dati di navigazione (analytics interno)

Per ogni pagina pubblica visitata in metodo GET registriamo: indirizzo IP, user-agent del browser, URL visitato, referrer (HTTP), session ID, gli eventuali parametri UTM e — derivati dall'indirizzo IP al momento della visita — il paese e la regione geografica (es. "IT / Lombardia"), senza alcun ulteriore livello di dettaglio (no città, no coordinate). Sono esclusi automaticamente: bot e crawler riconosciuti dall'user-agent (Googlebot, bingbot, ecc.), percorsi amministrativi e endpoint API tecnici. Questo sistema di analytics interno non invia dati a terzi. Attivato solo previo consenso.

Anonimizzazione automatica dopo 90 giorni: trascorso questo periodo, indirizzo IP, user-agent e session ID vengono cancellati definitivamente dalle righe storiche. URL, referrer, parametri UTM, paese e regione sopravvivono come statistica aggregata anonima a tempo indeterminato — disaggregati dall'IP non costituiscono più dato personale ai sensi del GDPR (considerando 26). Questo ci permette di mantenere serie storiche di traffico (es. confronti anno su anno) senza conservare dati identificativi.

Consenso esplicito richiesto (strict opt-in): in linea con le indicazioni del Garante per la protezione dei dati personali (provvedimento del 10/06/2021 sui cookie e altri identificatori), il tracciamento analitico viene attivato solo dopo che l'utente clicca "Accetta" nel banner di consenso (vedi §6). Finché l'utente non ha effettuato la scelta — oppure ha cliccato "Rifiuta" — il middleware di tracking non salva alcuna riga nella tabella analytics. La scelta dal banner viene letta lato server ad ogni richiesta HTTP; se modifichi la preferenza in qualsiasi momento (riapri il banner dal footer), il comportamento si adegua immediatamente.

Collegamento con i contatti identificati. Se un visitatore compila il form contatti o si iscrive alla newsletter, le visite registrate nella stessa sessione di navigazione (e i successivi spostamenti di pagina della medesima sessione) vengono collegate alla sua anagrafica di contatto, per ricostruire il percorso che ha portato al contatto. Il collegamento riguarda esclusivamente la sessione del modulo inviato, non l'intera cronologia storica né la navigazione da altri dispositivi o sessioni, e avviene solo per chi ha acconsentito all'analytics (senza consenso non viene registrata alcuna visita da collegare). Per queste visite il riferimento al contatto sopravvive all'anonimizzazione a 90 giorni: tali righe restano quindi dato personale (categoria CRM) e seguono i tempi di conservazione del relativo contatto (§7), non quelli della statistica anonima. Il collegamento può essere rimosso su richiesta dell'interessato insieme agli altri suoi dati.

2.4 Dati di interazione con la newsletter

Quando un destinatario apre un'email della newsletter o clicca un link al suo interno, registriamo: identificatore dell'iscritto, identificatore dell'edizione, URL cliccato (per i click), IP, user-agent e timestamp. Il tracciamento dei link avviene riscrivendo gli href con un endpoint nostro (/newsletter/click) che decifra un token e registra il click prima di reindirizzare alla destinazione finale. Il tracciamento delle aperture avviene tramite un pixel 1×1 invisibile (/newsletter/open); per i limiti tecnici di questa tecnica (proxy immagini di Gmail/Apple Mail, blocchi di Outlook) il dato delle aperture è considerato indicativo, non assoluto.

2.5 Sessioni

Per il funzionamento dei form (form contatti, iscrizione newsletter) il sito utilizza una sessione tecnica HTTP che include indirizzo IP, user-agent, payload cifrato e timestamp dell'ultima attività. Serve a prevenire attacchi CSRF e a mostrarti i messaggi di conferma dopo l'invio di un form. La sessione viene creata automaticamente al primo accesso, scade dopo 120 minuti di inattività e non richiede nessuna azione da parte tua.

3. Finalità del trattamento

  • Rispondere alle richieste inviate tramite il form contatti.

  • Inviare la newsletter agli iscritti che hanno fornito esplicito consenso.

  • Analizzare in forma aggregata e interna le statistiche di visita per migliorare contenuti e usabilità.

  • Misurare in forma aggregata l'efficacia delle edizioni della newsletter (aperture, click sui contenuti).

  • Prevenire e contrastare abusi, spam e attacchi informatici (limit di rate, validazione anti-bot).

  • Adempiere ad obblighi di legge e a richieste motivate di autorità competenti.

  • Ricostruire, per i soli utenti che ci contattano o si iscrivono, il percorso di navigazione che ha preceduto il contatto, per comprenderne meglio le esigenze e gestire la relazione commerciale.

4. Base giuridica del trattamento

  • Consenso dell'interessato (art. 6 §1 lett. a GDPR): iscrizione newsletter, invio del form contatti (richiede flag privacy esplicito), attivazione dell'analytics interno tramite banner cookie (strict opt-in, vedi §2.3).

  • Legittimo interesse del titolare (art. 6 §1 lett. f GDPR): tracciamento newsletter degli iscritti consenzienti; prevenzione abusi (rate limit, anti-bot); collegamento delle visite (già raccolte previo consenso analitico) all'anagrafica del contatto che le ha generate, per ricostruire il percorso pre-contatto e gestire la relazione — riguarda solo chi invia un modulo, manifestando un interesse diretto.

  • Obbligo legale (art. 6 §1 lett. c GDPR): conservazione di dati funzionale ad adempiere a richieste di autorità competenti.

5. Destinatari dei dati e fornitori (sub-processor)

I dati vengono trattati direttamente dal titolare. Per il funzionamento tecnico del sito utilizziamo i seguenti fornitori esterni che agiscono come responsabili del trattamento ai sensi dell'art. 28 GDPR:

  • Brevo (Sendinblue, brevo.com) — invio delle email transazionali (autoreply form contatti, notifiche admin) e delle newsletter. Server in UE. Brevo riceve l'indirizzo email del destinatario, il contenuto del messaggio inviato e i metadati di consegna.

  • Cloudflare (cloudflare.com) — funge da (a) DNS autoritativo e CDN/reverse proxy davanti al sito: ogni richiesta HTTP transita dai suoi server, che ne ricevono IP, user-agent, header e URL per consegnare i contenuti, mitigare attacchi DDoS e applicare regole di sicurezza (WAF); (b) verifica anti-bot del form contatti tramite Turnstile. Cloudflare Inc. è soggetta a garanzie per il trasferimento extra-UE (vedi sotto, "Trasferimenti extra-UE").

  • Supabase (supabase.com) — fornisce il database PostgreSQL in cui sono salvati tutti i dati elencati in §2, e il servizio di storage per le immagini pubbliche (articoli, progetti, pagine) e private (profilo utente). Server in UE.

  • Hetzner Online GmbH (hetzner.com) — hosting dell'applicazione web. I server si trovano a Norimberga (Germania, UE). Hetzner riceve traffico HTTP grezzo (header, IP, payload) per consegnarlo all'app; non profila il contenuto.

  • ipapi.co (ipapi.co) — geolocalizzazione dell'indirizzo IP per derivare paese e regione (vedi §2.3). Riceve esclusivamente l'IP del visitatore, non altri dati. La risposta viene memorizzata internamente sotto forma di paese+regione e l'IP originale è soggetto all'anonimizzazione a 90 giorni descritta in §7.

Trasferimenti extra-UE. Cloudflare Inc. ha sede negli Stati Uniti. Eventuali trasferimenti avvengono sulla base delle Clausole Contrattuali Standard (art. 46 GDPR) e/o dell'adesione al Data Privacy Framework UE-USA.

I dati personali non vengono né venduti né ceduti a terzi per finalità commerciali o di marketing. Non condividiamo dati con piattaforme pubblicitarie, broker di dati, social network.

6. Cookie e archiviazione locale

Il sito utilizza cookie e localStorage tecnici e funzionali. Non vengono utilizzati cookie di marketing o pubblicitari né condivisi con piattaforme di advertising.

  • iadicola-session (cookie HTTP, durata 120 min) — identificatore della sessione tecnica cifrata. Necessario per il funzionamento dei form (protezione CSRF, messaggi di conferma dopo l'invio). Senza, il sito non potrebbe ricevere il messaggio del form contatti o l'iscrizione alla newsletter.

  • XSRF-TOKEN (cookie HTTP, durata 120 min) — protezione anti-CSRF dei form. Standard Laravel.

  • cookie-consent cookie-consent (cookie HTTP, durata 365 giorni) — memorizza la scelta dell'utente sul banner di consenso GDPR (accepted / rejected). Il banner non viene rimostrato ad ogni visita; il valore viene letto lato server per attivare l'analytics interno solo dopo consenso esplicito (strict opt-in, vedi §2.3).

  • theme (localStorage del browser, persistente) — preferenza di tema chiaro/scuro/automatico. Non viene trasmesso al server.

  • Cookie tecnici di Cloudflare / Turnstile (es. __cf_bm, cf_chl_*) — impostati da Cloudflare (vedi §5) quando viene mostrato il form di contatto, protetto dal sistema anti-bot Turnstile, e tramite il reverse proxy CDN. Sono cookie tecnici e di sicurezza anti-bot, non di profilazione né di marketing, gestiti da Cloudflare come responsabile del trattamento.

7. Periodo di conservazione

  • Form contatti: i messaggi sono conservati per il tempo necessario a gestire la richiesta e l'eventuale relazione che ne deriva, nonché per il periodo utile alla difesa di un diritto. Non è prevista una cancellazione automatica a scadenza fissa: restano disponibili finché sussiste una di queste finalità. L'interessato può chiederne la cancellazione in qualsiasi momento (diritto all'oblio, §8), eseguita salvo obblighi di legge.

  • Iscrizione newsletter (lead): conservata fintanto che l'iscrizione resta attiva; dopo la disiscrizione il dato di contatto resta in archivio per evitare re-iscrizioni accidentali e può essere cancellato definitivamente su richiesta esplicita dell'interessato.

  • Tracciamento newsletter (aperture/click): conservato per supportare le metriche aggregate delle edizioni finché l'iscrizione è attiva; cancellabile su richiesta dell'interessato insieme agli altri suoi dati.

  • Sessioni: la sessione di un visitatore non autenticato viene cancellata automaticamente dopo 120 minuti di inattività. Non è necessaria nessuna azione esplicita da parte tua per terminarla — chiudere il browser o non navigare per quel periodo è sufficiente.

  • Analytics interno: i dati identificativi (IP, user-agent, session ID) sono conservati per 90 giorni dalla visita, poi cancellati definitivamente; URL, referrer, parametri UTM, paese e regione restano a tempo indeterminato come statistica aggregata anonima. Fanno eccezione le visite collegate a un contatto identificato (§2.3): conservano il riferimento al contatto e seguono i tempi di conservazione di quest'ultimo.

8. Diritti dell'interessato

L'utente ha il diritto, ai sensi degli articoli 15-22 GDPR, di:

  • Accedere ai propri dati personali e ottenerne una copia.

  • Richiedere la rettifica di dati inesatti o incompleti.

  • Richiedere la cancellazione dei dati ("diritto all'oblio").

  • Richiedere la limitazione del trattamento.

  • Richiedere la portabilità dei dati in formato strutturato.

  • Opporsi al trattamento per motivi legittimi.

  • Revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento già effettuato.

Le richieste possono essere inviate a [email protected]. Il titolare risponde entro 30 giorni. Per la disiscrizione dalla newsletter è sufficiente cliccare il link presente in calce a ogni email — la cancellazione del consenso è istantanea e non richiede ulteriori passi.

9. Reclami al Garante

L'interessato ha sempre diritto di presentare reclamo all'autorità di controllo (in Italia: Garante per la Protezione dei Dati Personali) qualora ritenga che il trattamento dei propri dati personali avvenga in violazione del GDPR.

10. Sicurezza

Il titolare adotta misure tecniche e organizzative adeguate, ai sensi dell'art. 32 GDPR, per proteggere i dati personali da accesso non autorizzato, perdita, modifica o divulgazione. Tutte le comunicazioni fra il browser dell'utente e il sito avvengono su connessione cifrata.

11. Modifiche

Questa informativa può essere aggiornata per adeguamento normativo o variazioni operative. La versione corrente è sempre disponibile su questa pagina, con la data dell'ultimo aggiornamento riportata in alto. In caso di modifiche sostanziali, gli iscritti alla newsletter saranno informati via email.