In breve: questo sito non usa cookie pubblicitari e non ti traccia da un sito all'altro. Se ti limiti a visitarlo, raccolgo statistiche aggregate e, solo col tuo consenso, statistiche più dettagliate. Se prenoti una seduta, raccolgo i dati che servono a fissare quell'appuntamento e nulla di più. Non vendo dati a nessuno.
Il titolare del trattamento è Lorenzo Galasso, osteopata e preparatore atletico, P.IVA 03082950357, con studio in Via Beniamino Gigli 7, 42124 Reggio Emilia. Per qualsiasi richiesta su questa informativa puoi scrivere a info@lorenzogalasso.it o su WhatsApp al 351 390 9788.
Il sito è realizzato e mantenuto da Andrea Rovatti, persona fisica titolare di partita IVA, che lavora con il nome commerciale Hemis.studio. Il nome è un'insegna e non una società: il soggetto che tratta i tuoi dati, e che ne risponde, è la persona. Tratta i dati soltanto per far funzionare il servizio, su istruzione del titolare e mai per finalità proprie: è quindi un responsabile del trattamento ai sensi dell'art. 28 GDPR, e lo ritrovi con questo nome nell'elenco dei destinatari.
L'atto di nomina previsto dall'art. 28, fra Lorenzo Galasso titolare e Andrea Rovatti responsabile, è in corso di formalizzazione. Finché non è firmato questa pagina non scrive che esiste, e quando lo sarà questa frase cambierà e porterà la data. Lo dico qui e non in una nota interna perché la cosa ti riguarda: senza quell'atto il trattamento di chi mantiene il sito non ha una base giuridica propria, e chi mantiene il sito ha in mano le chiavi tecniche di tutto.
Cambia molto se stai solo guardando il sito o se prenoti una seduta. Le tengo separate perché i dati e le regole sono diversi.
| Dati | Perché | Base giuridica |
|---|---|---|
| Dati tecnici di navigazione, compreso l'indirizzo IP | Far funzionare il sito e tenerlo sicuro | Legittimo interesse, art. 6.1.f |
| Statistiche aggregate senza cookie, con Vercel Web Analytics | Sapere quante visite riceve il sito. Nessun cookie e niente salvato sul tuo dispositivo: il conteggio dei visitatori usa un codice ricavato dalla richiesta. Nessuna profilazione | Legittimo interesse, art. 6.1.f |
| Statistiche con Google Analytics 4 | Capire come viene usato il sito. I cookie e la misurazione della visita partono solo se scegli Accetta nel banner. Il programma di Google però viene caricato a ogni visita, in stato di consenso negato: senza il tuo consenso non imposta cookie e non ti riconosce, ma un segnale tecnico raggiunge comunque i server di Google | Consenso, art. 6.1.a |
| Dati | Perché | Base giuridica |
|---|---|---|
| Nome, contatto WhatsApp, email se la lasci, tipo di seduta, data e ora, eventuale nota | Fissare, confermare e gestire l'appuntamento, e mandarti la conferma scritta con il link per disdire | Esecuzione del contratto e misure precontrattuali, art. 6.1.b |
| L'appuntamento nel calendario professionale di Lorenzo, con il tuo nome, il contatto e, se l'hai scritta, la nota | Perché lui lo veda insieme a tutti gli altri suoi impegni. Il calendario è un servizio Google: quello che scrivi nella nota arriva lì, e nella email di avviso che Lorenzo riceve | Esecuzione del contratto, art. 6.1.b |
| Eventuali informazioni sulla tua salute che scegli di scrivere nella nota | Prepararmi alla seduta. Non sono obbligatorie: se preferisci me le dici in studio, e in quel caso non passano da nessun sistema | Art. 9.2.h: finalità di cura, nell'ambito della prestazione professionale |
| Un'impronta del collegamento da cui arriva la richiesta, anche se apri soltanto il calendario senza prenotare | Impedire che qualcuno riempia l'agenda con prenotazioni finte o interroghi di continuo il calendario di Lorenzo. È un codice calcolato dall'indirizzo, non l'indirizzo: serve a contare, non a sapere chi sei. Il conteggio guarda solo l'ultima ora, e una pulizia periodica elimina le impronte più vecchie di un giorno: parte insieme alle richieste che arrivano al sito, quindi su un sito fermo una riga può restare più a lungo | Legittimo interesse, art. 6.1.f |
Il sito non installa cookie pubblicitari né tracker dei social.
La prenotazione, invece, avviene dentro questo sito: non c'è nessun calendario di terze parti incorporato nella pagina, e nessun servizio esterno riceve i tuoi dati mentre compili il modulo.
Questi fornitori trattano i dati per conto del titolare, come responsabili, e non possono usarli per finalità proprie. Con i fornitori esterni il vincolo sta nei rispettivi contratti di trattamento; per Andrea Rovatti vale quanto detto sopra sull'atto di nomina, che non è ancora firmato.
| Fornitore | Cosa fa | Dove |
|---|---|---|
| Supabase | Banca dati delle prenotazioni | Unione Europea, Francoforte |
| Vercel Inc. | Pubblicazione del sito, esecuzione delle funzioni e statistiche aggregate senza cookie | Stati Uniti |
| Resend | Invio della email di conferma a te e dell'avviso a Lorenzo, che riporta anche la nota se l'hai scritta | Stati Uniti |
| ImprovMX | Recapito al dominio della posta che mi scrivi | Unione Europea |
| Google LLC | Calendario su cui viene scritto l'appuntamento, casella su cui ricevo la posta del dominio, caratteri tipografici, e col tuo consenso le statistiche | Unione Europea e Stati Uniti |
| Andrea Rovatti (Hemis.studio) | Realizzazione e manutenzione tecnica del sito e della prenotazione. Con le chiavi tecniche può leggere tutto quello che c'è nella banca dati | Italia |
Il calendario professionale su cui viene inserito l'appuntamento è l'account Google che Lorenzo usa in prima persona per tutti i suoi impegni, secondo le condizioni che Google applica a quell'account.
Se mi scrivi su WhatsApp, o se ti rispondo io sul numero che hai lasciato, quella conversazione passa da WhatsApp Ireland Limited (gruppo Meta) alle condizioni del servizio, come qualsiasi altro messaggio che mandi da lì.
Nessun dato viene venduto o ceduto per finalità commerciali.
La banca dati delle prenotazioni risiede in Unione Europea. Vercel, Resend e Google sono società con sede o infrastrutture negli Stati Uniti, quindi una parte dei dati viene trattata là. Questi trasferimenti si basano sull'EU-US Data Privacy Framework, con cui la Commissione europea ha riconosciuto un livello di protezione adeguato, e in subordine sulle Clausole Contrattuali Standard.
| Dato | Durata |
|---|---|
| Dati tecnici di navigazione | Tempo breve, in forma aggregata o pseudonima |
| Statistiche Google Analytics, se acconsenti | 14 mesi. È un termine che vive nel pannello di Google Analytics, non in questo sito: chi vuole verificarlo lo verifica là |
| Prenotazioni | Nessuna cancellazione automatica: restano nella banca dati finché non le cancello io. Il criterio è il tempo utile a gestire il rapporto professionale e a difendermi in caso di contestazione; su tua richiesta le cancello |
| Impronta del collegamento per il limite di frequenza | Serve per un'ora. Una pulizia periodica elimina le impronte più vecchie di un giorno, e parte insieme alle richieste che arrivano al sito: di norma quindi entro un giorno, più a lungo se il sito resta senza traffico |
| Messaggi che mi mandi via email o WhatsApp | Il tempo necessario a risponderti e a gestire l'appuntamento |
Non è una formula di cortesia, quindi ti dico cosa c'è: banca dati in Unione Europea; nessun accesso possibile senza autenticazione, con isolamento riga per riga; nessuna credenziale con privilegi di servizio nel codice che gira nel tuo browser; trasmissione solo cifrata; un vincolo del database, e non un semplice controllo del programma, impedisce che due persone prenotino lo stesso orario; il link per disdire vale solo per la tua prenotazione e per nessun'altra; dopo ogni modifica della struttura dei dati ricontrollo a mano, con prove dedicate, che le regole di accesso siano ancora quelle previste.
Una cosa va detta per intero, perché a metà somiglia a una garanzia che non è. Andrea Rovatti, che realizza e mantiene il sito, non usa la pagina di gestione dell'agenda, che è di Lorenzo, ma ha in mano le chiavi tecniche del database e dell'hosting, e con quelle può leggere tutte le prenotazioni. È nella natura del lavoro di manutenzione, ed è esattamente il motivo per cui fra il titolare e lui serve l'atto di nomina a responsabile del trattamento di cui sopra, che oggi non c'è ancora.
Se malgrado tutto avvenisse una violazione dei dati con rischio per i tuoi diritti, riceverai comunicazione e il Garante verrà informato nei termini di legge.
Le sedute per minori si concordano con un genitore o con chi esercita la responsabilità genitoriale, che fissa l'appuntamento e fornisce i dati.
Puoi chiedere in qualsiasi momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, opporti a un trattamento basato sul legittimo interesse, ottenere la portabilità di quelli che mi hai fornito, e revocare un consenso già dato, senza che ciò tolga validità a quanto fatto prima della revoca.
Non ti profilo e non prendo decisioni automatizzate che ti riguardino come persona. Il sito applica solo limiti tecnici contro l'abuso: quante richieste accetta in un'ora dallo stesso collegamento, e quante prenotazioni future può avere lo stesso numero di telefono. Se uno di questi ti blocca, scrivimi e fissiamo insieme.
Scrivimi a info@lorenzogalasso.it o su WhatsApp al 351 390 9788: rispondo entro un mese. Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).