Informativa sulla privacy

Titolare del trattamento

Titolare del trattamento dei dati su questo sito e nel servizio di verifica è:
Ingo Christ, impresa individuale (marchio picjoy)
Luisenstraße 15
44787 Bochum
Germania
ingo.christ@picjoy.de

Responsabile della protezione dei dati

Non è stato nominato un responsabile della protezione dei dati e non sussiste alcun obbligo di nomina: ai sensi del § 38 comma 1 della legge federale tedesca sulla protezione dei dati l’obbligo scatta solo quando almeno 20 persone sono stabilmente occupate nel trattamento automatizzato di dati personali. L’impresa non ha dipendenti. Alle domande sulla protezione dei dati risponde il titolare stesso.

Quali dati trattiamo

Consultando e utilizzando questo sito vengono generati i seguenti dati:

• Dati di connessione: il sito è distribuito tramite Cloudflare. Vengono generati indirizzo IP, data e ora, indirizzo richiesto, volume di dati trasmesso, indirizzo di provenienza nonché identificativo del browser e del sistema operativo. La base giuridica è l’art. 6 par. 1 lett. f) del GDPR — legittimo interesse al funzionamento e alla sicurezza del sito.
• L’indirizzo del sito che lei inserisce quando avvia una verifica. Viene trattato per eseguire la verifica e mostrare il risultato. La base giuridica è l’art. 6 par. 1 lett. b) del GDPR.
• Uno pseudonimo del suo indirizzo IP all’avvio di una verifica o di una richiesta di report. Non viene conservato l’IP, ma un hash SHA-256 con sale casuale segreto; senza quel valore l’IP non è ricavabile. La finalità è unicamente la limitazione delle richieste e la prevenzione degli abusi. La base giuridica è l’art. 6 par. 1 lett. f) del GDPR.
• Il suo indirizzo e-mail quando richiede il report completo, insieme a data e indirizzo IP della richiesta e della conferma, come prova del doppio opt-in. La base giuridica è l’art. 6 par. 1 lett. b) del GDPR e, per la prova, l’art. 6 par. 1 lett. c) in combinato disposto con l’art. 7 par. 1.
• Il suo consenso a ricevere comunicazioni promozionali, se ha spuntato la relativa casella. La base giuridica è l’art. 6 par. 1 lett. a) del GDPR.

Report e promozione restano separati

Il report di verifica le viene inviato indipendentemente dal consenso alle comunicazioni promozionali. Il consenso è facoltativo e non condiziona il report (divieto di condizionamento, art. 7 par. 4 del GDPR). Report e promozione sono due voci distinte nel nostro registro dei consensi.

Il suo indirizzo e-mail viene confermato con il doppio opt-in: riceve prima un messaggio di conferma, che non contiene alcuna pubblicità; solo dopo il clic sul link in esso contenuto inviamo il report e — se acconsentito — ulteriori messaggi. Se il clic non arriva, la richiesta viene cancellata integralmente dopo 72 ore.

Come prova conserviamo, per ciascuna finalità: data e indirizzo IP della richiesta, data e indirizzo IP della conferma, l’identificativo del browser, la fonte e la versione del testo di consenso. Lo impone il principio di responsabilizzazione dell’art. 7 par. 1 del GDPR; un hash non avrebbe alcun valore probatorio.

Può revocare il consenso in qualsiasi momento con effetto per il futuro, in forma libera via e-mail oppure tramite il link di disiscrizione presente in ogni messaggio, che funziona anche come disiscrizione con un clic secondo la RFC 8058. La revoca blocca le comunicazioni promozionali; può continuare a richiedere i report. Una casella promozionale già revocata non viene riattivata dal modulo successivo. La liceità del trattamento fino alla revoca resta impregiudicata.

Recapito, mancate consegne ed elenco di blocco

I messaggi non recapitabili e i reclami per posta indesiderata vengono analizzati. Gli indirizzi interessati finiscono in un elenco di blocco interno e non vengono più contattati. La base giuridica è l’art. 6 par. 1 lett. f) del GDPR: il legittimo interesse a non scrivere a nessuno contro la sua volontà e gli obblighi del nostro fornitore di invio.

Se chiede la cancellazione dei suoi dati, tale blocco resta; vengono rimossi solo i dettagli. Cancellarlo significherebbe eliminare proprio l’istruzione di non scrivere più a quell’indirizzo.

Nessuno strumento di terzi

Questo sito non carica caratteri, script o fogli di stile da server esterni e non integra servizi di analisi, circuiti pubblicitari o social network. Non vengono impostati cookie a fini statistici o pubblicitari né creati profili. Attualmente non è integrato alcun fornitore di pagamento; non appena lo sarà, questa informativa verrà preventivamente integrata.

Responsabili del trattamento e destinatari

Ci avvaliamo di due fornitori, in entrambi i casi sulla base di un accordo di trattamento ai sensi dell’art. 28 del GDPR:

• Cloudflare (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA) distribuisce il sito, lo protegge dal sovraccarico e realizza la connessione cifrata tra il sito e il nostro server di verifica. Vengono trattati dati di connessione, incluso l’indirizzo IP.
• Amazon Simple Email Service (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Lussemburgo) invia i messaggi di conferma e i report. Sono trattati indirizzo e-mail, contenuto e stato di consegna del messaggio; l’invio passa dalla regione di Francoforte sul Meno (eu-central-1).

Entrambi i fornitori appartengono a gruppi con sede negli Stati Uniti; non si può quindi escludere un accesso da un paese terzo. Ogni trasferimento si basa sulla decisione di adeguatezza della Commissione europea relativa al Data Privacy Framework UE-USA (art. 45 del GDPR) e, in via complementare, sulle clausole contrattuali tipo (art. 46 par. 2 lett. c).

La verifica vera e propria e la banca dati funzionano su hardware di proprietà situato in Germania. Né i risultati né gli elenchi di indirizzi si trovano presso un fornitore cloud.

Tempi di conservazione

Conserviamo ogni dato solo finché dura la sua finalità. Un programma applica i termini automaticamente, ogni ora:

• Contatori della limitazione delle richieste (IP pseudonimizzato): 24 ore — la finalità si esaurisce con la finestra temporale.
• IP pseudonimizzato associato all’incarico di verifica: 7 giorni — è quanto basta per perseguire un abuso.
• Richiesta di report non confermata (indirizzo e IP): 72 ore — senza conferma non c’è consenso, quindi non c’è motivo di conservare.
• Risultati delle verifiche e report: 90 giorni — abbastanza per rispondere a domande, abbastanza poco da non costituire un fascicolo permanente su siti altrui. Eccezione: i risultati richiamati pubblicamente da un sigillo attivo — sono la prova della pagina pubblica di verifica e restano finché il sigillo viene esposto.
• Consenso prestato e IP che lo documenta: finché il consenso è valido (responsabilizzazione, art. 7 par. 1 del GDPR).
• Prova dopo la revoca: 3 anni — il termine ordinario di prescrizione del § 195 del codice civile tedesco.
• Consenso promozionale non utilizzato: dopo 24 mesi senza contatti si considera estinto e non viene più usato.
• Dettagli dei messaggi non recapitabili (testo diagnostico, identificativo del messaggio): 12 mesi.
• Blocco dopo un indirizzo stabilmente non recapitabile: senza termine. È l’istruzione «non scrivere mai più» e non diventa falsa con il tempo; sono conservati solo l’indirizzo e un’annotazione.

I suoi diritti

Il regolamento generale sulla protezione dei dati le riconosce i seguenti diritti:

• Accesso ai dati che la riguardano (art. 15)
• Rettifica dei dati inesatti (art. 16)
• Cancellazione (art. 17)
• Limitazione del trattamento (art. 18)
• Portabilità dei dati (art. 20)
• Opposizione ai trattamenti fondati sul legittimo interesse (art. 21)
• Revoca del consenso prestato (art. 7 par. 3)

Per l’accesso e la cancellazione basta una e-mail in forma libera a ingo.christ@picjoy.de. Entrambi sono previsti da noi come procedura definita e non vengono ricostruiti a mano.

Può inoltre proporre reclamo a un’autorità di controllo: quella della sua residenza abituale o quella del titolare. Per noi è la Commissaria per la protezione dei dati e la libertà d’informazione della Renania Settentrionale-Vestfalia, Kavalleriestraße 2–4, 40213 Düsseldorf, Germania.

Verifica di siti altrui

Quando inserisce un indirizzo da verificare, il nostro sistema richiama le pagine come un normale browser e analizza tecnicamente il codice sorgente restituito. Non vengono raccolti deliberatamente dati personali del sito verificato; ciò che viene conservato è il risultato tecnico, non la pagina.

Il nostro sistema si identifica come Scanready nell’identificativo del browser e rispetta i blocchi di accesso invece di aggirarli. I banner dei cookie non vengono chiusi automaticamente, perché sarebbe una dichiarazione di volontà in nome altrui. Lo stesso indirizzo viene riverificato al massimo una volta all’ora — il che tutela anche i siti verificati.