Informativa sulla Privacy
Art. 1 — Titolare del Trattamento
Il Titolare del trattamento dei dati personali raccolti tramite il sito arroweb.it è:
| Titolare | Nicolas Moerynck |
| Partita IVA | 03484640739 |
| Sede | Via Generale Pietro de Laclos 19, 74121 Taranto (TA), Italia |
| info@arroweb.it | |
| PEC | arrow@pec.arroweb.it |
| Sito web | arroweb.it |
Il Titolare opera in forma individuale e non ha nominato un Responsabile della Protezione dei Dati (DPO), non ricorrendo le condizioni di cui all'art. 37 GDPR.
Art. 2 — Dati Raccolti e Finalità del Trattamento
Il sito arroweb.it raccoglie dati personali attraverso tre moduli: il modulo di contatto, il modulo di prenotazione appuntamento e il modulo di richiesta audit gratuito.
Modulo di contatto:
— Nome e cognome — necessario per identificare il mittente della richiesta.
— Indirizzo email — necessario per rispondere alla richiesta.
— Messaggio — contenuto della richiesta inviata.
— Consensi — accettazione informativa privacy + termini di servizio (obbligatoria) e consenso a comunicazioni commerciali (opzionale, opt-in).
Modulo di prenotazione appuntamento:
— Nome e cognome — necessario per identificare il richiedente.
— Ragione sociale / nome attività — utile a contestualizzare la consulenza.
— Servizio richiesto — utile a preparare l'appuntamento.
— Città — utile a contestualizzare la consulenza.
— Indirizzo email — necessario per inviare conferma e promemoria.
— Numero di telefono — necessario per il contatto in occasione dell'appuntamento.
— Fascia oraria selezionata — necessaria per la gestione dell'agenda.
— Consensi — come sopra (privacy obbligatoria, marketing opzionale).
— Indirizzo IP — registrato esclusivamente sul record di consenso ai sensi dell'Art. 7 GDPR.
Modulo di richiesta audit:
— Indirizzo email — necessario per inviare il PDF dell'audit al richiedente.
— URL del sito da analizzare — oggetto della richiesta.
— Consensi — come sopra (privacy obbligatoria, marketing opzionale).
— Indirizzo IP — registrato esclusivamente sul record di consenso ai sensi dell'Art. 7 GDPR.
I dati sono trattati esclusivamente per rispondere alla richiesta dell'utente e per eventuali comunicazioni successive inerenti al potenziale progetto di collaborazione. L'invio di comunicazioni commerciali avviene solo se l'interessato ha spuntato la checkbox di marketing (opt-in separato). I dati non sono utilizzati per profilazione né ceduti a terzi.
Non vengono raccolti dati appartenenti a categorie particolari ai sensi dell'art. 9 GDPR.
Art. 3 — Base Giuridica del Trattamento
Il Titolare tratta i dati personali sulla base delle seguenti basi giuridiche, ciascuna riferita alla specifica finalità:
— Misure precontrattuali (art. 6, par. 1, lett. b GDPR) — necessità di rispondere a richieste di informazioni sui servizi offerti, predisporre preventivi e gestire l'eventuale stipula del contratto.
— Consenso dell'interessato (art. 6, par. 1, lett. a GDPR) — consenso esplicito prestato prima dell'invio del modulo. Raccolto tramite checkbox separata, non pre-spuntata, obbligatoria. La validazione avviene lato server: in caso di mancata accettazione il modulo è rigettato e nessun dato è inserito nei sistemi del Titolare.
— Consenso per comunicazioni commerciali (art. 6, par. 1, lett. a GDPR) — base giuridica autonoma, distinta dalla precedente, raccolta tramite una seconda checkbox separata, non pre-spuntata, opzionale. Una mancata accettazione del marketing non impedisce l'invio del modulo né la fornitura del servizio richiesto. Revocabile in qualsiasi momento scrivendo a info@arroweb.it.
Per ciascun consenso il Titolare conserva: la prova dell'accettazione, la data e ora di accettazione, l'indirizzo IP (solo per i moduli booking e audit — vedi Art. 4 per il modulo di contatto), e la versione dell'informativa accettata (snapshot della data di ultimo aggiornamento del presente documento al momento del consenso). Una modifica successiva dell'informativa non invalida i consensi precedenti né li rende retroattivi.
Art. 4 — Flusso dei Dati e Sistemi Coinvolti
Per garantire piena trasparenza, di seguito si descrive il percorso che i dati compilati nei moduli effettuano fino al Titolare:
Modulo di contatto:
— I dati vengono inviati al server arroweb.it ospitato presso Hetzner Online GmbH (datacenter Unione Europea).
— Il server valida la submission: in particolare verifica che la checkbox privacy sia stata accettata; in caso contrario l'invio è rigettato.
— Il server inoltra il contenuto del messaggio alla casella email info@arroweb.it, ospitata sul servizio Apple iCloud+ con dominio personalizzato.
— Il consenso è registrato all'interno del corpo dell'email outbound tramite un footer fisso che riporta: privacy/ToS accettati, marketing accettato (sì/no), versione di policy in data ISO, timestamp UTC, indirizzo email del mittente. L'email stessa costituisce il record di consenso. L'indirizzo IP non è registrato (in coerenza con la politica di anonimizzazione degli IP nei log nginx, vedi Art. 5).
— I dati non vengono memorizzati in alcun database del Titolare oltre alla casella email destinataria.
Modulo di prenotazione appuntamento:
— I dati vengono inviati al server arroweb.it (Hetzner, UE).
— Il server valida la submission (privacy_accepted obbligatorio).
— I dati validi sono inseriti in un database PostgreSQL dedicato (arroweb), con i campi di consenso: privacy_accepted, marketing_consent, consent_at, ip_address, policy_version.
— Il server trasmette successivamente le informazioni tramite API interna, su rete privata Hetzner non esposta a Internet, al sistema gestionale interno del Titolare (denominato Rose).
— Rose è software proprietario del Titolare, eseguito su infrastruttura del Titolare; non comporta condivisione di dati con terzi.
— Il Titolare riceve una notifica e, se l'appuntamento viene confermato, il sistema invia email di conferma all'interessato e crea un evento nell'agenda interna di Rose.
Modulo di richiesta audit:
— I dati vengono inviati al server arroweb.it (Hetzner, UE).
— Il server valida la submission (privacy_accepted obbligatorio).
— I dati validi sono inseriti nel database PostgreSQL arroweb (tabella audit_auditrequest), con gli stessi campi di consenso del modulo booking.
— Il sistema interno Rose recupera in pull, tramite API privata autenticata, le richieste di audit con marketing_consent=true (le sole per cui è lecito inviare il report tramite email automatica).
— Rose esegue il motore di audit sul sito indicato e invia il PDF risultante dall'indirizzo audit@arroweb.it all'email del richiedente.
— Il PDF dell'audit non è archiviato su disco: è effimero e prodotto on-demand al momento dell'invio.
Caselle email del Titolare — nota di trasparenza. Il Titolare utilizza tre indirizzi email distinti, tutti ospitati sulla stessa infrastruttura Apple iCloud+ (sub-responsabile unico, vedi Art. 7):
— info@arroweb.it — corrispondenza generale e ricezione dei messaggi dal modulo di contatto.
— audit@arroweb.it — invio dei report di audit ai richiedenti.
— privacy@arrow-rose.eu — invio delle email di richiesta consenso al brief (vedi Art. 13).
Art. 5 — Cookie, Log di Accesso e Tecnologie di Tracciamento
Cookie. Il sito utilizza esclusivamente cookie tecnici di sessione, necessari per il corretto funzionamento del sito e per la protezione CSRF (Cross-Site Request Forgery). Questi cookie non raccolgono informazioni personali identificabili, non tracciano la navigazione e vengono eliminati automaticamente alla chiusura del browser.
Log del server. Il server web (Nginx) è configurato per anonimizzare gli indirizzi IP dei visitatori nei log di accesso tramite mascheramento dell'ultimo ottetto: la variabile $remote_addr è rimossa dal log_format standard e sostituita da una versione anonimizzata. Questo processo impedisce l'identificazione univoca dell'utente nei log applicativi.
L'indirizzo IP raw è registrato esclusivamente:
— sul record di consenso dei moduli booking e audit (vedi Art. 4) ai sensi dell'Art. 7 GDPR (dovere del Titolare di dimostrare la liceità del consenso);
— in modo transitorio sul log di errore di Nginx, limitatamente alle righe generate dal rate-limit (limit_req) quando un client supera la soglia di richieste/secondo configurata. Questa è una traccia applicativa di sicurezza ai sensi dell'art. 6, par. 1, lett. f) GDPR — interesse legittimo del Titolare alla difesa da abusi e attacchi automatizzati. Il log di errore è ad accesso ristretto, ruotato e cancellato automaticamente da logrotate, e l'IP non viene utilizzato per finalità diverse dalla difesa del servizio.
Al di fuori di questi due usi, l'IP raw non compare in nessun log applicativo.
Risorse tecniche. Tutte le risorse tecniche caricate dalle pagine del sito (font tipografici, librerie JavaScript, fogli di stile) sono servite direttamente dal dominio arroweb.it. Non vengono effettuate richieste verso CDN o servizi di terze parti.
Assenza di analytics. Non vengono utilizzati cookie di profilazione, strumenti analitici di terze parti (es. Google Analytics, Matomo, Plausible) né tecnologie di tracciamento pubblicitario.
Per i motivi sopra descritti — assenza di cookie non tecnici, anonimizzazione degli IP nei log, assenza di risorse caricate da terze parti — non è necessario il banner di consenso ai cookie ai sensi del Provvedimento del Garante Privacy del 10 giugno 2021 n. 231 e delle Linee guida del 9 dicembre 2021.
Art. 6 — Modalità e Durata della Conservazione
I dati personali sono conservati per il tempo strettamente necessario alle finalità per cui sono stati raccolti, secondo i seguenti criteri:
— Richieste dal modulo di contatto: conservazione fino a 12 mesi dall'ultima comunicazione, in assenza di rapporto contrattuale. Decorso tale termine, le email vengono eliminate dalla casella info@arroweb.it. Non esiste copia in alcun database del Titolare.
— Richieste di appuntamento non convertite: conservazione fino a 6 mesi dalla data dell'appuntamento o, se rifiutato, dalla data della richiesta.
— Richieste di audit: conservazione fino a 6 mesi dalla data della richiesta. Auto-purge automatico tramite cron interno.
— Brief di progetto non consentiti: se l'interessato non rilascia il consenso entro 48 ore dalla creazione del brief (vedi Art. 13), i dati del brief sono cancellati in modo definitivo dal sistema in modo automatico. Hard-delete, senza periodo di tomba, ai fini della minimizzazione dei dati (art. 5, par. 1, lett. c e lett. e GDPR).
— Dati di rapporto contrattuale: conservazione per tutta la durata del contratto e per i 10 anni successivi, ai fini di obblighi fiscali e contabili (D.P.R. 633/1972 e D.P.R. 600/1973).
— Backup: tutti i sistemi sono soggetti a backup giornalieri con rotazione automatica a 21 giorni. La cancellazione dai sistemi primari è immediata; le copie nei backup vengono purgate automaticamente entro 21 giorni dalla rotazione.
Il Titolare effettua una revisione mensile dei dati conservati per garantire il rispetto dei termini sopra indicati.
Art. 7 — Comunicazione e Diffusione dei Dati
I dati personali non vengono ceduti, venduti o comunicati a terzi, salvo i casi seguenti:
— Hetzner Online GmbH (Germania) — fornitore dell'infrastruttura server e DNS, agisce come Responsabile del Trattamento ai sensi dell'art. 28 GDPR. Sede UE, soggetto al GDPR.
— Apple Distribution International Limited (Irlanda) — fornitore del servizio iCloud+ utilizzato per le caselle di posta del Titolare (info@arroweb.it, audit@arroweb.it, privacy@arrow-rose.eu), agisce come Responsabile del Trattamento. Il servizio è gestito da Apple in qualità di società irlandese, con eventuali trasferimenti tecnici disciplinati dalle Clausole Contrattuali Standard approvate dalla Commissione Europea (Decisione 2021/914/UE).
— Apple APNs, Google FCM, Mozilla autopush — fornitori dei servizi di notifica push web utilizzati dal sistema gestionale interno Rose (esclusivamente per notifiche al Titolare). I payload sono cifrati end-to-end con VAPID prima dell'invio: i fornitori ricevono solo l'endpoint URL e il ciphertext, mai il contenuto del payload.
— Obblighi di legge — i dati possono essere comunicati alle autorità competenti su richiesta legittima.
Art. 8 — Trasferimento di Dati Extra-UE
I dati sono trattati prevalentemente all'interno dell'Unione Europea (server Hetzner in Germania, sede Apple Distribution International Limited in Irlanda). Eventuali trasferimenti tecnici verso paesi terzi sono regolati dalle Clausole Contrattuali Standard adottate dalla Commissione Europea e dalle misure supplementari adeguate previste dalla giurisprudenza Schrems II (sentenza CGUE C-311/18).
I trasferimenti verso gli endpoint dei servizi di notifica push (Apple APNs, Google FCM negli Stati Uniti) sono limitati a payload cifrati end-to-end via VAPID, leggibili esclusivamente dal dispositivo destinatario del Titolare.
Art. 9 — Diritti dell'Interessato
In conformità agli artt. 15–22 del GDPR, l'utente ha il diritto di esercitare:
— Accesso (art. 15) — ottenere conferma dell'esistenza del trattamento e copia dei dati.
— Rettifica (art. 16) — correggere dati inesatti o incompleti.
— Cancellazione (art. 17) — il cosiddetto diritto all'oblio.
— Limitazione (art. 18) — limitare il trattamento in casi specifici.
— Opposizione (art. 21) — opporsi al trattamento per motivi legittimi.
— Portabilità (art. 20) — ricevere i dati in formato strutturato e leggibile.
— Revoca del consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca.
Per i brief di progetto (Art. 13), la revoca del consenso comporta la cancellazione definitiva dei dati del brief, salvo che il brief abbia già prodotto un rapporto contrattuale (in tal caso si applica la conservazione fiscale ai sensi dell'Art. 6).
Per esercitare i propri diritti l'utente può scrivere a info@arroweb.it oppure all'indirizzo PEC arrow@pec.arroweb.it. Il Titolare risponderà entro 30 giorni dalla ricezione della richiesta.
L'utente ha inoltre il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).
Art. 10 — Sicurezza dei Dati
Il Titolare adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR:
— Comunicazioni protette da HTTPS con certificato SSL/TLS valido (Let's Encrypt, rinnovo automatico ogni 90 giorni).
— Validazione lato server di ogni consenso: nessun modulo è accettato senza l'accettazione esplicita dell'informativa privacy.
— Dati archiviati su server con accesso ristretto: SSH solo con chiave (password disabilitate), fail2ban attivo, firewall ufw con deny-default.
— Cookie tecnici con protezione CSRF.
— Anonimizzazione dell'indirizzo IP alla sorgente nel log di accesso di Nginx (vedi Art. 5 per il dettaglio sulla distinzione tra access log ed error log).
— Backup automatici dei database con cifratura asimmetrica GPG (RSA 4096) per server alla sorgente: i server applicativi posseggono solo la chiave pubblica e possono unicamente cifrare; le chiavi private + passphrase risiedono esclusivamente in un password manager del Titolare e non sono mai presenti sui server. Rotazione automatica a 21 giorni, mirror off-site notturno su Hetzner Storage Box ubicato a Helsinki (Finlandia, UE) e snapshot a livello macchina virtuale del solo server backup tramite Hetzner Cloud Backup (7 slot giornalieri).
— Risorse tecniche servite localmente, senza dipendenze da CDN o terze parti.
— Accesso amministrativo ai sistemi gestionali interni protetto da VPN privata Tailscale (overlay end-to-end su WireGuard); traffico est-ovest fra server sulla rete privata Hetzner (vSwitch di datacenter, 10.0.0.0/16 non instradabile da internet ai sensi della RFC1918); credenziali personali e autenticazione a due fattori (PIN 6 cifre per le operazioni infrastrutturali).
— Firma elettronica per il consenso al brief: quando l'interessato rilascia il consenso al brief in modalità firma manoscritta (Art. 13), l'immagine PNG della firma è memorizzata su filesystem ad accesso autenticato e ad uso esclusivo del Titolare; in modalità link email, il token di consenso è firmato crittograficamente, monouso, e scade allo stesso intervallo del deadline di consenso.
Art. 11 — Notifica di Violazione dei Dati
In caso di violazione dei dati personali che possa comportare un rischio per i diritti e le libertà delle persone fisiche, il Titolare provvederà a notificare l'evento all'Autorità Garante entro 72 ore dalla scoperta, ai sensi dell'art. 33 GDPR, informando altresì gli interessati ove richiesto dall'art. 34 GDPR.
Art. 12 — Modifiche alla Presente Informativa
Il Titolare si riserva il diritto di apportare modifiche alla presente informativa in qualsiasi momento, pubblicando la versione aggiornata sul sito arroweb.it con nuova data di aggiornamento. Le modifiche hanno efficacia dal momento della loro pubblicazione e non hanno effetto retroattivo sui trattamenti già effettuati: ogni consenso rilasciato prima della modifica resta riferito alla versione di informativa accettata in quel momento (vedi Art. 3 sul concetto di policy_version snapshot).
Art. 13 — Consenso al Trattamento per i Progetti (Brief)
Quando il Titolare predispone un brief di progetto a partire da un prospect o da un lead presentato da un affiliato, raccoglie dati personali dettagliati relativi all'interessato finale (nome attività, contatti, P.IVA, obiettivi commerciali, preferenze). Per questa specifica fase di trattamento, il consenso esplicito dell'interessato è obbligatorio prima che il brief possa essere lavorato dal Titolare.
Il consenso è raccolto secondo una delle due modalità seguenti, a scelta dell'interessato:
(a) Firma elettronica in presenza.
L'interessato sottoscrive il consenso direttamente su un dispositivo del Titolare o dell'affiliato, disegnando la propria firma con il dito o con un pennino digitale su uno schermo mobile o desktop. La firma è raccolta in modalità Firma Elettronica Semplice (FES) ai sensi del D.Lgs. 82/2005 (Codice dell'Amministrazione Digitale) e archiviata come immagine raster (PNG) accompagnata dai metadati: data e ora UTC, indirizzo IP, versione di informativa accettata.
(b) Link di conferma via email.
Il Titolare invia all'indirizzo email dell'interessato un messaggio dall'indirizzo dedicato privacy@arrow-rose.eu contenente la sintesi del brief, l'informativa privacy e i termini di servizio, e un link di conferma. L'interessato conferma il consenso cliccando sul link. Il link contiene un token crittograficamente firmato, monouso, valido per le stesse 48 ore del deadline di consenso. Alla conferma vengono registrati: data e ora UTC del click, indirizzo IP, versione di informativa accettata.
Termine di 48 ore (auto-cancellazione).
Se l'interessato non rilascia il consenso (tramite una delle due modalità sopra) entro 48 ore dalla creazione del brief, i dati del brief sono cancellati in modo automatico e definitivo dal sistema. Si tratta di una hard-delete, senza periodo di tomba, ed è volta a garantire la minimizzazione dei dati ai sensi dell'art. 5, par. 1, lett. c) e lett. e) GDPR. Il termine è configurabile dal Titolare nell'apposita impostazione (default 48 ore).
Revoca.
Il consenso al trattamento per il brief può essere revocato in qualsiasi momento dall'interessato scrivendo a info@arroweb.it. La revoca comporta la cancellazione dei dati del brief, salvo che il brief abbia già prodotto un rapporto contrattuale (in tal caso si applica la conservazione fiscale ai sensi dell'Art. 6).