Privacy Policy

Titolare: Riccardo Bozzato, con sede in Legnaro (PD), Italia.

Contatti per ogni questione relativa ai dati: [email protected].

Il sito è gestito tramite Netlify (hosting) e distribuito tramite Cloudflare (CDN e DNS). Entrambi trattano dati tecnici come indirizzo IP e user agent per erogare il sito.

Modulo di contatto generico: nome, email e messaggio. Usato per richieste di ruolo lavorativo, progetti o consulenza.

Servizi di consulenza (Operational Audit, Operations Overhaul, Fractional Head of Operations): nome, email, azienda, descrizione del problema operativo, dettagli di team e processi. Per l'Overhaul possono servire dettagli tecnici delle piattaforme (Magento, Shopware, Pimcore) e credenziali di accesso temporanee, distrutte al termine dell'incarico. I prezzi si concordano in call e nella proposta scritta: nessuna tariffa è pubblicata sul sito.

Download delle risorse gratuite (playbook): nome e indirizzo email, per consegnare il PDF e inviare la sequenza email (massimo 6 email in 30 giorni). Richiede doppio opt-in: senza la conferma dell'indirizzo la sequenza non parte.

Download CV: nessun dato raccolto, il download è anonimo.

Acquisto di ShipKit: nome, email e indirizzo di fatturazione, gestiti tramite Stripe. Io non ricevo né memorizzo i dati della carta di credito.

Uso i dati per rispondere alle richieste, erogare i servizi concordati e, solo se hai chiesto il playbook, inviarti la sequenza email operativa. Non vendo i tuoi dati, non li condivido con terzi per finalità di marketing e non li uso per addestrare modelli.

I lead del playbook sono conservati su Netlify Blobs, uno storage situato negli Stati Uniti.

Il sito distingue tre categorie e tu scegli quali accettare.

Necessari: sempre attivi. Servono al funzionamento del sito (lingua della sessione, rate limiting, token di doppio opt-in e disiscrizione) e non possono essere disattivati.

Analytics: Google Analytics 4, caricato solo dopo il tuo consenso esplicito. È attivo con l'anonimizzazione dell'indirizzo IP e con i segnali pubblicitari di Google disattivati, a meno che tu non abbia accettato anche la categoria pubblicitaria. Serve a capire quali pagine vengono lette.

Pubblicità: Google AdSense e i suoi partner possono impostare cookie per mostrare annunci pertinenti e misurare le campagne. Anche questi vengono caricati solo con il tuo consenso. Il sito può inoltre ospitare contenuti sponsorizzati venduti direttamente, sempre etichettati come tali.

Se rifiuti, GA4 e AdSense non vengono richiesti: il sito funziona normalmente, senza misurazione e senza annunci.

Un'eccezione che devo dichiarare: il container Google Tag Manager di questo sito contiene anche un tag Hotjar, caricato a ogni visita senza passare dal tuo consenso. Nella pratica non ha mai iniziato una sessione di registrazione — non imposta cookie Hotjar e non trasmette contenuto delle pagine — ma lo script viene richiesto a Hotjar (Mitribes Inc., Malta e Stati Uniti), che riceve il tuo indirizzo IP e il tuo user agent. La sezione 12 spiega come puoi eliminarlo.

La base giuridica è il consenso espresso, prestato con un'azione affermativa. Per la sequenza email si applica il doppio opt-in: ricevi una email di conferma e la sequenza parte solo dopo il tuo clic sul link di conferma.

Ogni email della sequenza contiene un link di disiscrizione che agisce immediatamente. Puoi inoltre modificare le tue scelte sui cookie in qualsiasi momento, dal link «Impostazioni cookie» nel footer del sito.

Il consenso non è condizionato all'acquisto di beni o servizi.

Art. 6.1.a Consenso espresso: cookie non necessari, sequenza email.

Art. 6.1.b Esecuzione del contratto: risposte a richieste di contatto e servizi in corso.

Art. 6.1.c Obbligo legale: dati di fatturazione, conservati per 10 anni come previsto dalla normativa fiscale.

Art. 6.1.f Legittimo interesse: sicurezza del sito (rate limiting, log tecnici) e difesa da abusi.

Richieste di contatto e candidature: 24 mesi dall'ultimo contatto, salvo necessità di conservarli più a lungo per obblighi di legge.

Dati di fatturazione: 10 anni (obbligo fiscale).

Lead della sequenza playbook: 30 giorni dall'ultima email, poi cancellati. Se ti disiscrivi, vengono cancellati immediatamente.

Log tecnici di sicurezza: 90 giorni.

Credenziali tecniche fornite per un incarico di Overhaul: distrutte al termine dell'incarico.

Puoi in ogni momento chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, e revocare il consenso.

Per esercitarli scrivi a [email protected]. Rispondo entro 30 giorni.

Non applico decisioni automatizzate né profilazione. Puoi chiedere la portabilità dei tuoi dati in formato JSON.

Solo i servizi strettamente necessari, con i relativi trattamenti:

Netlify (Netlify Inc., USA): hosting, Netlify Identity per l'autenticazione dell'area riservata e Netlify Blobs per la conservazione dei lead del playbook.

Cloudflare (Cloudflare Inc., USA): CDN, DNS, mitigazione degli attacchi e distribuzione dei contenuti via edge.

Google Ireland Limited (Irlanda, con trasferimenti negli USA): Google Analytics 4 e, se hai accettato, Google AdSense.

Mitribes Inc. (marchio Hotjar, Malta e Stati Uniti): lo script di Hotjar viene richiesto a ogni visita tramite il container Google Tag Manager e riceve indirizzo IP e user agent. Sul sito non ha iniziato sessioni di registrazione.

Resend Inc. (USA): invio delle email transazionali e della sequenza.

Stripe Inc. (USA): pagamenti, esclusivamente per l'acquisto di ShipKit.

Amazon EU S.a.r.l.: programma affiliati. Alcuni link in uscita sono link affiliati e generano una commissione. Per l'affiliazione non uso cookie di tracciamento aggiuntivi.

Netlify, Cloudflare, Resend, Stripe, Google e Mitribes (Hotjar) trattano dati fuori dallo Spazio Economico Europeo. Per questi trasferimenti ci si basa sulle Clausole Contrattuali Standard (SCC) della Commissione Europea, Decisione di Esecuzione 2021/914, e su misure supplementari come l'anonimizzazione dell'IP in Google Analytics.

Puoi chiedere copia delle SCC applicabili scrivendo a [email protected].

HTTPS con TLS su tutto il sito, HSTS con durata di due anni, CSP restrittiva, rate limiting su tutte le API e comportamento fail-closed su tutti gli endpoint protetti. I secret non sono mai committati nel repository e le password di amministrazione non sono hardcoded nel sorgente.

Nessun sistema è al riparo da violazioni: in caso di data breach ti avviso via email senza ritardo indebito e con le informazioni richieste dal GDPR.

Netlify Identity: lo script di autenticazione e caricato su tutte le pagine del sito, anche se viene usato solo nell'area riservata /login. Serve a gestire la sessione e puo impostare cookie tecnici. Non viene impostato alcun cookie di profilazione.

Google Tag Manager: il container GTM-5XPLS93 e iniettato dal CDN Cloudflare, non dal codice di questo sito, e viene richiesto a ogni visita. Questo e un passaggio che posso dichiarare ma non controllare direttamente: chi ne gestisce la configurazione puo eliminarlo oppure farlo rispettare il consenso.

Hotjar: il container GTM-5XPLS93 contiene un tag Hotjar (site id 1792073) il cui unico trigger e il caricamento della pagina, senza alcuna condizione legata al consenso. Percio lo script static.hotjar.com viene richiesto a ogni visita, anche rifiutando ogni categoria, e Hotjar (Mitribes Inc.) riceve indirizzo IP e user agent. Verificando il sito non ho trovato sessioni di registrazione attive: nessun cookie Hotjar viene impostato e nessun flusso di registrazione viene avviato, quindi il contenuto delle pagine non viene trasmesso. Se preferisci che lo script non venga neppure richiesto, il rimedio e rimuovere il tag dal container GTM, cosa che posso fare io su tua richiesta.

Google Fonts: i caratteri sono caricati da fonts.gstatic.com, con l'implicita conseguenza che il tuo indirizzo IP viene trasmesso a Google al momento del caricamento della pagina. I caratteri sono serviti anche se rifiuti la categoria analytics e pubblicita, perche' servono al funzionamento della pagina.

Le candidature che invii sono trattate per valutare la posizione e, in caso di esito positivo, per gestire il rapporto di lavoro. Non condivido i tuoi dati di candidatura con terzi e non li uso per finalità di marketing. Puoi chiedere la cancellazione in qualsiasi momento.

I contenuti del sito, incluse stime, metriche e risultati di case study, hanno finalità informativa e non costituiscono consulenza legale, fiscale o finanziaria. L'utente è responsabile delle decisioni assunte sulla base delle informazioni pubblicate.

Questa informativa può essere aggiornata, per esempio in caso di nuovi servizi, di nuovi partner tecnici o di variazioni normative. La data in alto indica sempre l'ultima revisione. Le modifiche sostanziali vengono comunicate via email a chi ha richiesto il playbook.

Se ritieni che il trattamento violi il GDPR, puoi presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato membro in cui risiedi. Prima puoi sempre scrivere a [email protected]: risponderò entro 30 giorni.