Informativa sulla privacy

Versione 2.4 del 28 settembre 2026 · in vigore dalla data di apertura del sito

1. Titolare del trattamento

Antonio Maraucci — P.IVA 09286091211
Via Matera Pasquale 14, 80026 Casoria (NA), Italia
Email per la privacy: privacy@aisulserio.com
PEC: totaliweb@pec.it

Per qualsiasi domanda sui tuoi dati o per esercitare i tuoi diritti scrivi a uno di questi due indirizzi. Non abbiamo nominato un responsabile della protezione dei dati (DPO).

Per segnalare un problema di sicurezza del sito scrivi a sicurezza@aisulserio.com.

2. Quali dati trattiamo e perché

2.1 Visita del sito

Quando visiti il sito, il nostro server web registra automaticamente alcuni dati tecnici di ogni richiesta, tranne quelle delle statistiche (§2.3): indirizzo IP, data e ora, pagina richiesta (con i suoi parametri, per esempio le parole di una ricerca: §2.6), codice di risposta, pagina di provenienza, browser e sistema operativo (user agent). Anche i registri degli errori, di norma, contengono l’indirizzo IP. Li usiamo solo per far funzionare il sito, per proteggerlo e per individuare abusi. Non li usiamo per profilarti e non li incrociamo con altri dati.

• Base giuridica: legittimo interesse al funzionamento e alla sicurezza del sito (art. 6.1.f GDPR).
• Conservazione: 14 giorni, poi i registri si cancellano da soli. Li teniamo più a lungo solo se servono per accertare un illecito o per difendere un diritto: in quel caso teniamo solo le righe che servono, per il tempo necessario.

Caratteri, immagini e script del sito, compreso quello delle statistiche, arrivano dal nostro server. Prima di un tuo clic il browser contatta soltanto il nostro server: aisulserio.com e, per le statistiche, statistiche.aisulserio.com (§2.3). Nessun servizio di altri.

2.2 Protezione del sito e degli accessi

Per difendere il sito da attacchi e abusi teniamo alcuni registri tecnici sul nostro server. Dove possibile non salviamo il tuo indirizzo IP: al suo posto salviamo un’impronta calcolata con una chiave segreta che sta solo sul nostro server e nelle sue copie di sicurezza (§2.10). Senza quella chiave non si risale all’indirizzo. È un dato pseudonimo, non anonimo. Per «prefisso» dell’indirizzo IP intendiamo l’indirizzo IPv4 intero o la prima metà di un indirizzo IPv6.

• Tentativi di accesso all’area riservata: impronta dell’email usata e del prefisso dell’indirizzo IP, numero di errori, eventuali blocchi. 7 giorni.
• Limiti d’uso dei moduli (iscrizione alla newsletter, download dei materiali dei libri, segnalazioni di sicurezza del browser): impronta del prefisso dell’indirizzo IP e numero di richieste. 1 ora.
• Registro delle attività: accessi, secondo fattore, blocchi, recupero della password, modifiche a utenti e impostazioni, aggiornamenti e controlli di integrità. L’indirizzo IP è salvato per intero solo negli eventi che riguardano un account (per esempio un tentativo di accesso, anche fallito); negli altri c’è solo l’impronta. Le righe sono firmate: se qualcuno le cambia senza la chiave, ce ne accorgiamo. 12 mesi.
• Pagine non trovate: indirizzo della pagina richiesta, sito di provenienza (solo il dominio) e tipo di programma (browser, motore di ricerca…). Nessun indirizzo IP. 30 giorni se la segnalazione è risolta, altrimenti 90.
• Segnalazioni di sicurezza del browser (Content Security Policy): se il tuo browser blocca una risorsa non prevista, ci manda una segnalazione. Salviamo solo la regola, il sito della risorsa bloccata e il tipo di pagina, contati insieme. Nessun indirizzo IP né dato sul browser. 30 giorni.
• Firewall del server (Imunify360 di CloudLinux, con ModSecurity): protegge tutti i siti del nostro server. Se una richiesta sembra un attacco, registra l’indirizzo IP, la data, l’indirizzo richiesto, la regola che è scattata e, a volte, il contenuto della richiesta, e può bloccare quell’indirizzo. Se il tuo indirizzo risulta sospetto, prima del sito può mostrarti una pagina di verifica, dal nostro server. Per superarla servono JavaScript e un cookie tecnico di sicurezza, che la verifica salva nel tuo browser (cookie policy). Se la superi, il firewall considera fidato il tuo indirizzo per 24 ore. Al servizio centrale di Imunify il firewall manda gli indirizzi coinvolti negli attacchi e negli altri eventi sospetti, con i dati dell’evento, e i dati delle verifiche. Imunify li usa anche per proteggere gli altri server che lo usano.
• Quanto restano i dati del firewall sul nostro server. Gli incidenti: al massimo 100 giorni. Il registro dettagliato di ModSecurity, che può contenere il contenuto della richiesta: al massimo 8 giorni (un file al giorno, e se ne tengono 7 oltre a quello del giorno). Il registro principale di Imunify360, con gli indirizzi bloccati e le verifiche: al massimo 6 giorni (un file al giorno, e se ne tengono 5 oltre a quello del giorno). Gli avvisi del sistema che riconosce le intrusioni (OSSEC): al massimo 5 giorni. Il registro del filtro delle richieste (WAF) di Imunify360: se ne tengono 10 file oltre a quello in uso, che a fine settembre 2026 coprivano più di 7 settimane. Il registro delle richieste che passano dal filtro in ingresso di Imunify360 (WebShield: indirizzo IP, data, indirizzo richiesto e programma usato): al massimo 53 giorni (un file al giorno, e se ne tengono 52 oltre a quello del giorno). Il registro delle richieste controllate dal filtro delle richieste (WAF): se ne tengono 10 file oltre a quello in uso, che a fine settembre 2026 coprivano circa 2 settimane. Il registro dei blocchi decisi dal sistema che riconosce le intrusioni: al massimo 8 settimane (un file a settimana, e se ne tengono 7 oltre a quello in uso). Chi chiede la pagina di verifica troppe volte (100 in 6 ore) non può chiederla di nuovo per 10 giorni. Per quanto tempo un indirizzo resta sotto verifica lo decide Imunify. Gli altri registri del firewall restano solo per il tempo che serve a riconoscere e fermare gli attacchi ripetuti.

Base giuridica: legittimo interesse alla sicurezza della rete e del sito (art. 6.1.f e considerando 49 GDPR). Abbiamo fatto per iscritto il bilanciamento: i dati sono pochi, quasi sempre pseudonimi, e di norma restano per poco tempo (i tempi sono qui sopra), quindi i tuoi diritti e le tue libertà non prevalgono su questo interesse. Puoi comunque opporti (§6).

2.3 Statistiche delle visite (Matomo)

Per capire quali contenuti sono utili contiamo le visite con Matomo, un programma di statistica che abbiamo installato sul nostro server, all’indirizzo statistiche.aisulserio.com (data center di Hetzner a Falkenstein, in Germania: §4). I dati delle statistiche restano sui nostri sistemi in Germania (il server e le copie di sicurezza cifrate, §2.10): non li riceve nessun altro, nemmeno chi sviluppa Matomo. Nel pannello vediamo solo dati aggregati: il registro delle singole visite e i profili dei visitatori sono spenti.

• Nessun cookie. Matomo non salva niente nel tuo browser. Per raggruppare le pagine della stessa visita calcola un’impronta tecnica da pochi dati della richiesta (sistema operativo, browser, lingua e indirizzo IP già accorciato). L’impronta vale al massimo 24 ore: la chiave che la genera cambia ogni giorno e quella vecchia si butta.
• Dati: pagina visitata e suo titolo, pagina di provenienza (senza i suoi parametri), link verso altri siti e file che scarichi dal sito, data e ora, tipo di dispositivo, browser e sistema operativo, lingua, paese (ricavato dall’indirizzo IP già accorciato o dalla lingua del browser). Non leggiamo la risoluzione dello schermo né altre caratteristiche del browser: lo script controlla solo i segnali Do Not Track e Global Privacy Control e la tua scelta «Non contarmi», per rispettarli. Le parole della ricerca interna non arrivano alle statistiche.
• Indirizzo IP accorciato di 2 byte prima di salvarlo nelle statistiche (per esempio 93.41.25.107 diventa 93.41.0.0). Anche per ricavare il paese Matomo usa solo l’indirizzo già accorciato.
• Niente identificativi degli utenti, mappe di calore, registrazioni delle sessioni o incroci con altri dati. Contiamo solo le visite di aisulserio.com. Non cediamo i dati a nessuno.
• Do Not Track e Global Privacy Control: se il tuo browser manda uno di questi segnali, lo script delle statistiche si ferma subito: matomo.js non si carica e non parte nessuna richiesta.
• Quale server contatta il tuo browser: solo statistiche.aisulserio.com, sul nostro server. Da lì arriva il codice di Matomo (matomo.js) e lì vanno i dati della visita. Come ogni pagina del sito, il server riceve il tuo indirizzo IP completo; Matomo lo accorcia prima di salvarlo. Le richieste delle statistiche non finiscono nei registri del server web; se una va in errore, la riga dell’errore, con l’indirizzo IP, si cancella dopo 14 giorni, come nel §2.1.
• Base giuridica: legittimo interesse a capire quali contenuti servono (art. 6.1.f GDPR). Le Linee guida del Garante del 10 giugno 2021 (§7.2) equiparano agli strumenti tecnici le statistiche che producono solo dati aggregati su un solo sito, con l’indirizzo IP mascherato e senza incroci con altri dati: non serve il consenso (art. 122 del Codice privacy). Le nostre sono statistiche di prima parte: le gestiamo noi, sul nostro server, e nessun terzo riceve i dati. Ti lasciamo comunque la scelta, qui sotto.
• Conservazione: i dati delle singole visite, già con l’indirizzo IP accorciato, si cancellano dopo 13 mesi. Restano solo i rapporti aggregati (per esempio «quante visite ha avuto questa pagina a marzo»), che non riguardano più nessuno in particolare. Per le copie di sicurezza vale il §2.10.

Non contarmi. Puoi escluderti dalle statistiche con il pulsante qui sotto. La scelta resta salvata solo in questo browser, nella sua memoria locale e senza cookie. La puoi cambiare quando vuoi.

Senza JavaScript le statistiche non ti contano.

2.4 Video di YouTube

Nelle pagine i nostri video compaiono come anteprima: un’immagine e un titolo salvati sul nostro server. Finché non premi «Guarda il video», il tuo browser non contatta YouTube né Google. Accanto al pulsante c’è sempre un avviso: il video si carica da YouTube e, da quel momento, Google può usare i suoi cookie.

Se premi «Guarda il video», il sito carica il lettore di YouTube dal dominio youtube-nocookie.com. Il tuo browser invia a Google il tuo indirizzo IP, dati tecnici sul dispositivo e l’indirizzo del nostro sito (non quello della pagina precisa). Da quel momento Google può leggere e salvare cookie e dati simili nel tuo browser, anche per scopi propri, e può trattare i dati anche negli Stati Uniti.

• Chi ne risponde. Per la sola raccolta e trasmissione dei dati a Google, nel momento in cui carichi il lettore, siamo contitolari con Google Ireland Limited (Gordon House, Barrow Street, Dublino 4, Irlanda), come ha chiarito la Corte di giustizia dell’Unione europea (causa C-40/17, Fashion ID). Google non offre un accordo di contitolarità per il lettore, quindi ti diciamo qui come ci dividiamo i compiti: noi rispondiamo dell’anteprima, dell’avviso e della scelta di usare il lettore; Google risponde di tutto quello che succede dopo, come titolare autonomo, secondo la sua informativa sulla privacy. Puoi esercitare i tuoi diritti con noi o con Google (art. 26.3 GDPR).
• Base giuridica: il tuo consenso (art. 6.1.a GDPR e art. 122 del Codice privacy), che dai premendo «Guarda il video» dopo l’avviso. Vale per quel video: non ricordiamo la scelta. Per revocarlo basta chiudere la pagina e cancellare i dati di YouTube dal browser; la revoca non cambia quello che è già successo.
• Se preferisci, puoi guardare i video direttamente sul nostro canale YouTube, @AISulSerio.

2.5 Posta Seria, la newsletter

• Come ti iscrivi: compili il modulo, spunti le due caselle obbligatorie («Voglio ricevere Posta Seria…» e «Ho almeno 14 anni») e confermi dal link che ti mandiamo via email (doppia conferma). Senza conferma non entri nella lista e non ti scriviamo. Le caselle non sono mai già spuntate.
• Dati: la tua email; il nome, se vuoi darcelo; la risposta alla domanda facoltativa «Di cosa ti occupi?»; la tua scelta sulle statistiche delle email; la versione dei testi del modulo che hai visto.
• Perché: mandarti Posta Seria, una volta a settimana, e le email di benvenuto: prompt, guide, novità verificate e, ogni tanto, i libri e i prodotti di AI Sul Serio, sempre segnalati come «Autopromozione». Non vendiamo e non prestiamo la lista a nessuno.
• La domanda «Di cosa ti occupi?» è facoltativa. Serve solo a scegliere quale versione delle email di benvenuto mandarti e, ogni tanto, un blocco pensato per chi lavora in azienda; la newsletter settimanale è la stessa per tutti. Senza risposta vale «Preferisco non dirlo». Non ne ricaviamo altro. Puoi cambiare o togliere la risposta dal link per le preferenze in fondo a ogni email, o scrivendoci.
• Aperture e clic: li colleghiamo a te solo se spunti la casella facoltativa che lo chiede. In quel caso Brevo registra, per il tuo indirizzo, quando apri un’email e su quali link clicchi, con data, ora e indirizzo IP. Ci serve a capire quali temi interessano. Se non la spunti, Brevo non li lega al tuo indirizzo: al massimo li conta in forma anonima, nel totale di ogni invio. Le email, compresa quella di conferma, possono comunque contenere un’immagine minuscola e link che passano dai server di Brevo: quando apri l’email o premi un link, Brevo riceve il tuo indirizzo IP, senza collegarlo a te. Puoi cambiare idea quando vuoi, senza disiscriverti, dal link apposito in fondo a ogni email. I link verso il nostro sito portano solo parametri uguali per tutti (per esempio utm_source=newsletter), che le statistiche del §2.3 contano come provenienza.
• Prova del consenso: sul nostro database teniamo la prova della tua iscrizione: un’impronta della tua email e del prefisso dell’indirizzo IP da cui ti sei iscritto, calcolata con una chiave segreta come nel §2.2; data e ora della richiesta e della conferma; la versione e un’impronta dei testi che hai visto; le caselle che hai spuntato; la pagina del modulo. Non salviamo l’email né l’indirizzo IP in chiaro; il nome e la risposta alla domanda li riceve solo Brevo.
• Base giuridica: il tuo consenso (art. 6.1.a GDPR e art. 130 del Codice privacy), che dai con la casella e con la conferma. Aperture e clic hanno un consenso a parte, facoltativo (art. 122 del Codice privacy e Linee guida del Garante sui pixel di tracciamento nelle email del 17 aprile 2026), e lo stesso vale per la risposta alla domanda. Puoi revocare ogni consenso quando vuoi: con il link «Disiscriviti» in ogni email, con il link per le preferenze o scrivendoci. La revoca non cambia quello che è già successo. Per la prova del consenso la base è l’obbligo di poter dimostrare il consenso (art. 7.1 e art. 6.1.c GDPR).
• Chi li tratta per noi: Brevo (Sendinblue SAS), responsabile del trattamento: manda le email e conserva i dati degli iscritti (§4 e §5). Quando premi il link di conferma, il clic passa dai server di Brevo, che registrano la conferma, poi torni sul nostro sito.
• Età: per iscriverti devi avere almeno 14 anni (§7).
• Che cosa è obbligatorio: l’email e le due caselle obbligatorie, senza le quali non possiamo mandarti la newsletter. Nome, risposta alla domanda e consenso ad aperture e clic sono facoltativi: se non li dai, ricevi la stessa newsletter.
• Conservazione: finché resti iscritto. Se non confermi entro 7 giorni, cancelliamo la richiesta dal nostro database; se il tuo indirizzo fosse rimasto fra i contatti di Brevo senza conferma, lo cancelliamo entro lo stesso tempo. Quando ti disiscrivi, smetti subito di ricevere le email e cancelliamo il tuo contatto da Brevo entro 30 giorni. La prova del consenso la teniamo, solo come impronte, per 5 anni dalla disiscrizione: è il tempo in cui potremmo dover dimostrare che ci avevi autorizzato (art. 28 della legge 689/1981). Poi la cancelliamo.

2.6 Ricerca e materiali dei libri

• Ricerca interna. Mentre scrivi, i suggerimenti si calcolano nel tuo browser, con un indice che scarichi dal nostro sito: le parole non escono dal tuo dispositivo. Se premi Invio o «Cerca» (e sempre, se JavaScript è spento o la ricerca nel browser non si carica), la ricerca passa dal nostro server all’indirizzo /?s=…: le parole cercate finiscono nei registri del §2.1, per 14 giorni, e, dentro il nostro sito, nella pagina di provenienza delle pagine che apri dopo. Le statistiche del §2.3 non le registrano. Ti consigliamo di non cercare nomi o altri dati personali.
• Materiali dei libri. I materiali che si sbloccano con la parola-codice stampata nel volume non richiedono dati personali. Per evitare abusi contiamo i tentativi come descritto nel §2.2.

2.7 Contatti

Se ci scrivi, trattiamo i dati che ci fornisci (nome, indirizzo, contenuto del messaggio) per risponderti. Base giuridica: risposta alla tua richiesta e misure precontrattuali (art. 6.1.b) o legittimo interesse (art. 6.1.f). Le email agli indirizzi @aisulserio.com arrivano sul nostro server di posta, presso Hetzner; i messaggi alla PEC li gestisce il fornitore della PEC (§4).

• Conservazione: 12 mesi dall’ultimo scambio. Più a lungo solo se ne nasce un rapporto, per i tempi previsti dalla legge, o se servono per difendere un diritto.
• Richieste sui dati personali: di ogni richiesta teniamo una traccia (che cosa ci hai chiesto, quando e che cosa abbiamo fatto) per 24 mesi, per poter dimostrare di averla gestita (art. 5.2 e art. 6.1.c GDPR).

2.8 Area riservata del sito

Solo chi gestisce il sito ha un account (oggi solo il titolare, più alcuni utenti tecnici senza una persona dietro, per i controlli automatici): i visitatori non possono registrarsi. Per chi ha un account trattiamo email, nome, impronta della password, il secondo fattore di autenticazione (cifrato), i codici di recupero (come impronte) e i dispositivi da cui accede. Il codice QR del secondo fattore si genera nel browser, senza servizi esterni.

• Usiamo cookie tecnici di accesso e un cookie «di dispositivo», elencati nella cookie policy. Per il cookie di dispositivo sul server teniamo solo un’impronta, le date di emissione e di ultimo uso, la rete dell’ultimo uso (i primi tre numeri di un indirizzo IPv4 o i primi 48 bit di un IPv6) e il nome del browser.
• A ogni accesso da un dispositivo nuovo chi gestisce il sito riceve un’email con data, ora e rete di provenienza.
• Base giuridica: legittimo interesse alla gestione sicura del sito (art. 6.1.f GDPR).
• Conservazione: finché l’account esiste; i dispositivi noti 180 giorni dall’ultimo uso.

2.9 Servizi che il nostro server contatta

Il nostro server contatta alcuni servizi esterni. Non manda loro dati di chi visita, tranne in due casi: a Brevo quando ti iscrivi a Posta Seria (§2.5) e al servizio centrale del firewall gli indirizzi coinvolti negli attacchi e negli altri eventi sospetti, con i dati dell’evento, e i dati delle verifiche (§2.2).

• Motori di ricerca: Google Search Console, con un account di servizio del nostro progetto Google Cloud, per mandare la mappa del sito e leggere dati di ricerca già aggregati da Google; IndexNow, che condivide gli avvisi con i motori aderenti; Bing Webmaster Tools. Ricevono solo gli indirizzi delle pagine pubblicate o cambiate.
• WordPress.org, php.net e matomo.org: aggiornamenti e controlli di sicurezza del software. Durante i suoi aggiornamenti, il server delle statistiche può scaricare anche una banca dati pubblica che associa gli indirizzi IP ai paesi: la consulta sul nostro server, senza mandare fuori nessun indirizzo.
• Pwned Passwords (Have I Been Pwned): quando chi gestisce il sito cambia la password, controlliamo che non compaia fra quelle già rubate in passato. Mandiamo solo 5 caratteri di un’impronta della password, mai la password.
• healthchecks.io (SIA Monkey See Monkey Do, Lettonia): riceve un segnale quando finisce un backup, una prova di ripristino o il calcolo orario dei rapporti delle statistiche, e quando il sito ha un problema grave. Il segnale parte dal nostro server e porta al massimo qualche riga tecnica del lavoro, senza dati personali.

2.10 Copie di sicurezza (backup)

Per non perdere il sito facciamo copie di sicurezza dei database (compreso quello delle statistiche), dei file caricati e dei file privati. Le copie si cifrano sul nostro server prima di uscire, quindi Hetzner non può leggerle, e vanno in uno spazio di archiviazione di Hetzner a Falkenstein, in Germania. Il nostro server lì può solo aggiungere copie, non cancellarle.

• Base giuridica: legittimo interesse alla continuità del sito e obbligo di proteggere i dati (art. 6.1.f e art. 32 GDPR).
• Conservazione: ogni tre mesi togliamo le copie più vecchie di 90 giorni. Lo spazio di archiviazione tiene in più, per 10 giorni, un’istantanea giornaliera di sé stesso. Un dato cancellato sparisce quindi anche dalle copie entro 7 mesi al massimo. Se nel frattempo dobbiamo ripristinare una copia, cancelliamo di nuovo, subito, i dati che ci avevi chiesto di cancellare.

2.11 Lo Studio (studio.aisulserio.com)

Lo Studio è un’applicazione interna, accessibile solo con credenziali personali rilasciate da noi (il titolare e, durante la verifica dell’app, i revisori incaricati da Google). Tratta:

• Account dello Studio: nome utente, nome visualizzato e impronta crittografica (argon2id) della password. La password in chiaro non viene mai salvata.
• Sessione: un cookie tecnico di sessione (vedi la cookie policy).
• Registri di sicurezza e approvazioni: indirizzo IP e browser dei tentativi di accesso e di ogni approvazione di caricamento, insieme all’impronta (hash) del file e dei dati approvati. IP e browser vengono oscurati dopo 365 giorni; il resto del registro resta come prova del consenso dato per ogni pubblicazione.
• File caricati: il video e gli eventuali miniatura e sottotitoli, salvati temporaneamente sul nostro server solo per il tempo del caricamento su YouTube e poi cancellati.

Base giuridica: legittimo interesse a gestire in sicurezza la pubblicazione dei nostri contenuti (art. 6.1.f) ed esecuzione del servizio per gli utenti autorizzati (art. 6.1.b).

3. Servizi API di YouTube

Lo Studio utilizza i Servizi API di YouTube (YouTube API Services) forniti da Google. Usando lo Studio accetti di essere vincolato dai Termini di servizio di YouTube. Ai dati trattati da Google si applica l’Informativa sulla privacy di Google.

3.1 A cosa accede

Lo Studio accede a un account YouTube solo dopo che l’utente lo ha autorizzato dalla schermata di consenso di Google, con due permessi:

• youtube.upload — caricare video sul canale;
• youtube.force-ssl — leggere le informazioni di base del canale e le sue playlist, impostare miniature e sottotitoli e aggiungere i video alle playlist.

Dati letti: identificativo, nome e immagine del canale; elenco delle playlist; identificativo e stato di elaborazione dei video caricati tramite lo Studio.

3.2 Come usa i dati

• Carica un video solo dopo un’approvazione esplicita per quel singolo video, data con una casella non preselezionata, con titolo, descrizione, visibilità, data di pubblicazione e impostazioni scelte dall’utente.
• Imposta miniatura, sottotitoli e playlist indicati dall’utente.
• Mostra all’utente lo stato dei caricamenti.

3.3 Cosa conserva e per quanto

• Token di accesso di Google: cifrati (AES-256-GCM) sul nostro server. Ogni giorno verifichiamo che l’autorizzazione sia ancora valida.
• Nome e immagine del canale: aggiornati periodicamente e comunque entro 30 giorni.
• Registro dei caricamenti: identificativi del video e della playlist, dati approvati e registro del consenso.
• I dati ottenuti tramite le API di YouTube vengono aggiornati o cancellati almeno ogni 30 giorni. Lo Studio non calcola nuove metriche o dati derivati dai dati delle API.

3.4 Condivisione

Non vendiamo né cediamo questi dati e non li usiamo per pubblicità. Sono conservati sul nostro server in un data center in Germania (Hetzner Online GmbH). Li comunichiamo alle autorità solo se la legge lo impone.

3.5 Come revocare l’accesso e cancellare i dati

• Dallo Studio, con il pulsante Scollega: revochiamo subito l’autorizzazione anche presso Google e cancelliamo il token.
• Dalla pagina delle autorizzazioni del tuo account Google: myaccount.google.com/permissions → “AI Sul Serio Studio” → “Rimuovi accesso”. Ce ne accorgiamo con il controllo quotidiano e cancelliamo subito token, nome e immagine del canale; il resto dei dati legati a quella connessione entro 5 giorni.
• Scrivendo a totaliweb@pec.it: cancelliamo i dati entro 30 giorni (di norma entro 7). Vedi anche Eliminazione dei dati.

La cancellazione riguarda i dati conservati dallo Studio: non elimina nulla su YouTube. Per cancellare i video usa YouTube Studio.

4. Chi tratta i dati per noi e altri destinatari

Questi fornitori trattano dati personali per conto nostro (responsabili del trattamento, art. 28 GDPR) o, dove è scritto, per conto proprio. Con ognuno dei responsabili abbiamo un accordo sul trattamento dei dati. Nessuno riceve dati per pubblicità o profilazione.

Fornitore	Ruolo	Per che cosa	Dove sono i dati	Garanzie
Hetzner Online GmbH Industriestraße 25, 91710 Gunzenhausen, Germania	responsabile	server del sito, delle statistiche (Matomo, §2.3), dello Studio e della posta di aisulserio.com; spazio per i backup cifrati (§2.10)	Germania (data center di Falkenstein)	accordo sul trattamento dei dati; trattamento solo nell’Unione europea
Sendinblue SAS (Brevo) 9-17 rue Salneuve, 75017 Parigi, Francia	responsabile	newsletter Posta Seria (§2.5)	Francia e Belgio; alcuni subfornitori fuori dall’Unione europea (§5)	accordo sul trattamento dei dati nei termini di Brevo; clausole contrattuali standard e, dove c’è, Data Privacy Framework per i subfornitori extra UE
Aruba PEC S.p.A. Via San Clemente 53, 24036 Ponte San Pietro (BG), Italia	responsabile per la casella; titolare autonomo per il registro dei messaggi che la legge sulla PEC le impone di tenere per 30 mesi (DPR 68/2005)	casella di posta elettronica certificata totaliweb@pec.it (§2.7)	gestore in Italia	gestore di posta elettronica certificata soggetto alla legge italiana
Google Ireland Limited Gordon House, Barrow Street, Dublino 4, Irlanda	contitolare per il caricamento del lettore, poi titolare autonomo; titolare autonomo per i Servizi API di YouTube	lettore dei video (§2.4); Servizi API di YouTube per lo Studio (§3)	Irlanda; possibili trattamenti negli Stati Uniti	Data Privacy Framework e clausole contrattuali standard
SIA Monkey See Monkey Do (healthchecks.io) Rīga, Lettonia	nessun dato di chi visita	segnali di funzionamento dal nostro server (§2.9)	gestore in Lettonia (Unione europea)	nessun dato personale nei segnali

Riceve dati anche CloudLinux, che sviluppa il firewall del server (Imunify360), per il suo servizio centrale di protezione: solo gli indirizzi IP coinvolti negli attacchi e negli altri eventi sospetti, con i dati dell’evento, e i dati delle verifiche di sicurezza (§2.2).

Comunichiamo dati alle autorità solo se la legge lo impone.

5. Trasferimenti fuori dall’Unione europea

• Server, statistiche, posta e backup: in Germania, sul nostro server e nello spazio per i backup di Hetzner: non escono dall’Unione europea.
• Newsletter: i dati degli iscritti stanno su server in Francia e Belgio. Alcuni subfornitori di Brevo (per esempio per l’assistenza, la protezione della rete e la manutenzione) hanno sede o server fuori dall’Unione europea, in particolare negli Stati Uniti e in India: Brevo li vincola con le clausole contrattuali standard della Commissione europea e, dove c’è, con il Data Privacy Framework.
• YouTube: i dati inviati a YouTube, dallo Studio o dal tuo browser quando carichi un video, possono essere trattati da Google anche negli Stati Uniti, sulla base dell’EU-U.S. Data Privacy Framework e delle clausole contrattuali standard adottate da Google.

Se vuoi una copia delle garanzie, scrivici.

6. I tuoi diritti

Puoi chiedere in qualsiasi momento l’accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità, e opporti ai trattamenti basati sul legittimo interesse per motivi legati alla tua situazione (artt. 15–22 GDPR). Puoi revocare in qualsiasi momento un consenso che ci hai dato, senza conseguenze su quello che è successo prima. Non prendiamo decisioni automatizzate che ti riguardano.

• Come: scrivi a privacy@aisulserio.com o alla PEC totaliweb@pec.it. Ti chiediamo solo le informazioni che servono per essere sicuri che la richiesta arrivi da te. È gratis.
• Nessun obbligo: non sei obbligato a darci dati personali. I dati tecnici della navigazione (§2.1) servono perché il sito possa risponderti; i moduli dicono sempre che cosa è facoltativo.
• Tempi: rispondiamo entro un mese. Se la richiesta è complessa possiamo prendere altri due mesi, ma te lo diciamo entro il primo mese, con il motivo.
• Da solo: per smettere di ricevere Posta Seria basta il link «Disiscriviti» in ogni email; per non essere contato nelle statistiche c’è il pulsante «Non contarmi» (§2.3). Vedi anche Eliminazione dei dati.
• Statistiche: l’indirizzo IP è accorciato e non ci sono cookie né identificativi, quindi di solito non possiamo ritrovare le tue visite fra le altre (art. 11 GDPR). Se ci dai informazioni che ci permettono di farlo, le usiamo per la tua richiesta.
• Reclamo: hai il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma) o all’autorità di controllo del Paese dell’Unione europea in cui vivi o lavori (art. 77 GDPR).

7. Minori

Il sito non è rivolto ai minori di 14 anni. Per iscriverti a Posta Seria devi dichiarare di avere almeno 14 anni: da quell’età puoi dare da solo il consenso (art. 8 GDPR e art. 2-quinquies del Codice privacy). Se scopriamo di aver raccolto dati di un minore di 14 anni, li cancelliamo. Lo Studio è riservato agli utenti autorizzati maggiorenni.

8. Sicurezza

Connessioni sempre cifrate (HTTPS), firewall del server, token cifrati, password protette con algoritmi dedicati (argon2id nello Studio), limiti ai tentativi di accesso, accesso amministrativo al server riservato al titolare. Il server ospita anche i siti dei clienti di TotaliWeb, ognuno nel suo spazio, separato dal nostro. Nell’area riservata del sito l’accesso richiede due fattori; il sito controlla da solo che i suoi file non cambino, tiene un registro firmato delle attività e manda copie cifrate fuori dal server. In caso di violazione dei dati seguiamo una procedura scritta: quando è dovuto, la notifichiamo al Garante entro 72 ore e avvisiamo le persone coinvolte.

9. Modifiche

Aggiorniamo questa informativa prima di attivare un nuovo servizio o di cambiare fornitore, e cambiamo il numero di versione in alto. Se una modifica riguarda un trattamento basato sul tuo consenso, te lo chiediamo di nuovo quando serve. Le versioni precedenti te le mandiamo se ce le chiedi.