Informativa privacy e cookie

Chi è il titolare

Il titolare del trattamento è Marco Tomelleri, che gestisce 70m3.eu come sito personale. Per qualunque domanda sui tuoi dati scrivi a [email protected].

Quali dati tratto e perché

A. Registri del server

Per ogni pagina richiesta il server registra indirizzo IP, data e ora, indirizzo della pagina, codice di risposta, pagina di provenienza e browser. Servono a far funzionare il sito, a trovare i guasti e a riconoscere gli abusi.

Base giuridica: legittimo interesse a tenere il sito funzionante e sicuro (art. 6.1.f GDPR).

B. Protezione dagli attacchi

Ogni richiesta passa da un firewall applicativo e da CrowdSec, che girano sul mio server e controllano se l'indirizzo IP o la richiesta somigliano a un attacco (scansioni, tentativi di accesso, exploit noti). Se sì, l'indirizzo viene bloccato in automatico.

Gli indirizzi bloccati, con il tipo di attacco e l'ora, vengono condivisi con la rete di CrowdSec, che li usa per proteggere anche altri server. Gli indirizzi che attaccano le trappole (honeypot) dei miei server possono essere segnalati anche ad AbuseIPDB, un elenco pubblico degli IP usati per attacchi. Un visitatore normale non finisce in nessuno dei due.

Se pensi di essere stato bloccato per errore, scrivimi e lo verifico a mano.

Base giuridica: legittimo interesse alla sicurezza della rete e dei sistemi (art. 6.1.f e considerando 49 GDPR).

C. Statistiche di visita

Conto le visite con Rybbit, installato sul mio server: i dati non passano da Google né da altri servizi esterni. Il conteggio non usa cookie né memoria del browser e salta chi ha attivo il segnale Do Not Track. L'indirizzo IP non viene mai scritto su disco: serve solo, al momento, a ricavare il paese e la zona approssimativa e, insieme al browser e a un valore che cambia ogni giorno, a riconoscere una visita ripetuta nella stessa giornata. Per ogni pagina vista salvo: la pagina, l'ora, il sito di provenienza, tipo di browser e di sistema, lingua, dimensione dello schermo, paese e zona approssimativa, più un codice anonimo che cambia ogni giorno. Questi dati si cancellano dopo 13 mesi. Non creo profili e non incrocio questi dati con altro.

Base giuridica: legittimo interesse a sapere quanto e come viene letto il sito (art. 6.1.f GDPR).

D. Email e modulo di contatto

Se mi scrivi per email o con il modulo di contatto, tratto nome, indirizzo email e testo del messaggio, più cognome e numero di telefono se scegli di darmeli, solo per risponderti. I messaggi del modulo restano sul mio server, dove li leggo dal mio pannello di gestione, e me ne arriva una copia nella casella [email protected]. Se rispondi per email a una mia risposta, il testo della tua email (senza allegati) viene aggiunto alla stessa conversazione nel pannello.

Per tenere lontani i programmi che mandano spam, la pagina contatti usa Cloudflare Turnstile, una verifica che sostituisce i vecchi captcha: controlla che dall'altra parte ci sia una persona, senza cookie di profilazione e senza seguirti su altri siti. Per farlo il tuo browser si collega a challenges.cloudflare.com solo in quella pagina. Il modulo controlla anche quante richieste arrivano dallo stesso indirizzo IP in poco tempo; quell'IP non viene salvato insieme al messaggio.

Base giuridica: la tua richiesta (art. 6.1.b GDPR).

Chi altro riceve i dati

• Il mio server: il sito, i registri, le statistiche e i messaggi del modulo stanno su un server di mia proprietà, gestito da me.
• Cloudflare, Inc. (Stati Uniti): il traffico passa dalla rete di Cloudflare, usata come proxy per velocizzare il sito e bloccare gli attacchi, quindi Cloudflare vede l'indirizzo IP e la richiesta di ogni visitatore. Nella pagina contatti Cloudflare gestisce anche la verifica Turnstile.
• Serverlet (Italia): gestisce la posta di 70m3.eu, quindi riceve le email che mi mandi e le copie dei messaggi del modulo.
• CrowdSec SAS (Francia): riceve gli indirizzi bloccati per attacco, come spiegato al punto B.
• AbuseIPDB LLC (Stati Uniti): riceve le segnalazioni degli indirizzi che attaccano le trappole, cioè IP, ora e tipo di attacco.

Il trasferimento verso Cloudflare, negli Stati Uniti, si basa sul Data Privacy Framework UE-USA a cui Cloudflare aderisce. Le segnalazioni ad AbuseIPDB riguardano solo indirizzi che hanno attaccato i miei server e si basano sul legittimo interesse alla sicurezza delle reti. Nessun dato viene venduto o ceduto per pubblicità o profilazione.

Cookie

Il sito non imposta cookie e non usa memoria del browser. Cloudflare può impostare un cookie tecnico di sicurezza (per esempio __cf_bm) quando deve distinguere una persona da un programma automatico: è necessario alla protezione del sito e non richiede consenso. Per questo non c'è nessun banner.

Per quanto tempo

• Registri del server: 5 settimane, poi vengono cancellati in automatico.
• Statistiche: si salvano solo totali anonimi, mai le singole visite, e si cancellano dopo 13 mesi.
• Blocchi per attacco: lo storico locale si cancella dopo 7 giorni.
• Messaggi del modulo ed email: il tempo necessario a risponderti, e comunque non oltre 12 mesi dall'ultimo scambio.
• Copie di sicurezza: il server fa backup cifrati ogni notte, che contengono anche registri e statistiche; ogni copia si cancella al più tardi dopo 6 mesi.

I tuoi diritti

In base agli articoli 15–22 del GDPR puoi chiedere in ogni momento di:

• sapere se ho dati che ti riguardano e averne una copia;
• correggerli se sono sbagliati;
• cancellarli;
• limitarne l'uso;
• opporti al trattamento basato sul legittimo interesse.

Basta una mail a [email protected]: rispondo entro un mese. Se pensi che i tuoi dati siano trattati male puoi fare reclamo al Garante per la protezione dei dati personali.

Non sei obbligato a fornire dati: puoi leggere il sito senza dare niente oltre a quello che il tuo browser manda per aprire una pagina.

Modifiche

Se cambia qualcosa nel sito o nei servizi che usa, aggiorno questa pagina e la data in cima.