Privacy policy

Privacy policy — Protocollo De Minicis Ultimo aggiornamento: 14 settembre 2026 1. Introduzione La presente informativa descrive come Protocollo De Minicis tratta i dati personali quando l’utente visita protocollodeminicis.com, invia il modulo di contatto, usa il chatbot o interagisce con le automazioni collegate al sito. È resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”). 2. Titolare del trattamento Il Titolare del trattamento è Francesco De Minicis, P.IVA 02862560998, con sede in Via Giovanna d’Arco 184, Sesto San Giovanni, Italia. Per informazioni, richieste o esercizio dei diritti: info@protocollodeminicis.com. 3. Dati trattati Dati tecnici e di utilizzo. I sistemi che erogano e proteggono il sito possono trattare indirizzo IP, data e ora, risorsa richiesta, esito della richiesta, referrer, paese ricavato dall’IP e informazioni su browser e dispositivo. Lo script esterno GoHighLevel/LeadConnector tratta inoltre URL e titolo della pagina, referrer, user agent, tipo di dispositivo, pagine viste, tempo trascorso, invii dei moduli, un identificatore casuale di sessione ed eventuali identificativi CRM già presenti nel browser. I log sono usati per funzionamento, sicurezza, prevenzione di abusi e diagnosi degli errori. Modulo di contatto. Sono raccolti nome, email, telefono, tipo di attività, obiettivo indicato dall’utente, tempo tecnico di compilazione e, se disponibile, paese ricavato dall’IP. Il campo antispam invisibile serve esclusivamente a individuare invii automatizzati. Se l’utente ha consentito le relative categorie, possono essere associati sorgente/campagna, parametri UTM, gclid, fbclid, fbc, fbp e un identificatore pseudonimo di conversione. Chatbot e funzioni di intelligenza artificiale. Quando l’utente usa il chatbot o richiede un’analisi assistita da AI, vengono trattati messaggi, documenti o informazioni volontariamente forniti e i dati tecnici indispensabili a produrre la risposta. Non inserire password, segreti, dati sanitari, giudiziari o altre categorie particolari di dati se non espressamente richiesto e protetto da una base giuridica adeguata. Le risposte dell’AI possono contenere errori e non sostituiscono una valutazione professionale o umana. Consenso. Per registrare e rispettare la scelta sono trattati un identificatore casuale del browser, un identificatore casuale della ricevuta, versione dell’informativa, categorie scelte, segnale GPC/DNT e data del server. La ricevuta non contiene nome, email, telefono, IP, user agent, URL o parametri di campagna e non è collegata automaticamente al contatto nel CRM. 4. Finalità e basi giuridiche - Erogare e proteggere il sito, prevenire abusi e mantenere la sicurezza: legittimo interesse del Titolare, art. 6(1)(f) GDPR. - Rispondere al modulo, ricontattare l’utente e svolgere attività precontrattuali richieste: esecuzione di misure precontrattuali, art. 6(1)(b) GDPR. Il modulo funziona anche senza consenso ad analytics o marketing. - Gestire il contatto e la relazione nel CRM: art. 6(1)(b) GDPR per richieste e rapporti precontrattuali; art. 6(1)(c) per obblighi di legge; eventuali comunicazioni promozionali ulteriori richiedono il consenso, art. 6(1)(a), salvo i limitati casi consentiti dalla legge. - Collegare la sessione di navigazione e l’invio del modulo al CRM tramite lo script operativo GoHighLevel/LeadConnector: misure precontrattuali richieste dall’utente, art. 6(1)(b), e legittimo interesse alla corretta gestione e misurazione delle richieste, art. 6(1)(f), dopo bilanciamento degli interessi. - Fornire chatbot e analisi AI richiesti dall’utente: art. 6(1)(b) GDPR quando necessari al servizio richiesto; art. 6(1)(f) per migliorare e rendere sicuro il servizio, dopo bilanciamento degli interessi. Non vengono adottate decisioni unicamente automatizzate che producano effetti giuridici o analogamente significativi sull’utente. - Misurare visite e prestazioni con Google Analytics 4: consenso, art. 6(1)(a) GDPR. - Misurare campagne e conversioni con Google Tag Manager, Google Ads o Meta: consenso, art. 6(1)(a) GDPR. - Registrare, dimostrare e revocare le preferenze: adempimento degli obblighi sul consenso e legittimo interesse alla relativa prova, artt. 6(1)(c) e 6(1)(f) GDPR. 5. Modalità del trattamento e flussi Il sito è statico e usa un Worker server-side per validare il modulo e impedire che credenziali del CRM siano esposte nel browser. I dati del modulo vengono trasmessi a GoHighLevel (GHL) per creare o aggiornare il contatto, applicare i tag operativi e registrare la richiesta. Inoltre external-tracking.js, fornito tramite il dominio apighl.protocollodeminicis.com, viene caricato nelle pagine del sito per collegare navigazione e moduli al CRM e invia gli eventi a backend.leadconnectorhq.com. Questo script opera indipendentemente dalle categorie analytics e marketing del pannello. n8n è installato in modalità self-hosted su infrastruttura Hetzner ubicata a Norimberga, Germania, ed è utilizzato per orchestrare automazioni e analisi. Nel flusso di tracciamento implementato dal sito n8n riceve solo un envelope analitico privo di nome, email, telefono, azienda e testo libero del modulo; può invece ricevere identificatori pseudonimi e dati di attribuzione autorizzati. Negli altri workflow, inclusi chatbot e analisi richieste, n8n tratta soltanto i dati necessari allo specifico processo. Per chatbot e analisi AI, i contenuti necessari possono essere inviati tramite API a OpenAI. Il Titolare deve configurare l’account business/API, i permessi e la minimizzazione dei dati coerentemente con il servizio richiesto. I dati non devono essere riutilizzati dal Titolare per finalità incompatibili con la richiesta originaria. 6. Fornitori e responsabili I dati possono essere trattati, nei limiti delle rispettive funzioni, dai seguenti fornitori nominati responsabili del trattamento ove richiesto: - Cloudflare, per CDN, sicurezza, Worker e database delle ricevute di consenso; - Sanity, per la gestione e distribuzione dei contenuti pubblici e della configurazione; - HighLevel Inc. / GoHighLevel, per CRM, gestione dei contatti e automazioni collegate; - Hetzner, per l’infrastruttura su cui n8n è self-hosted a Norimberga, Germania; - OpenAI e le entità indicate nel relativo contratto/DPA, per API di analisi e chatbot; - Google, solo se Google Analytics, Google Tag Manager o Google Ads sono abilitati e autorizzati; - Meta Platforms, solo se Pixel o Conversion API sono abilitati e autorizzati. Personale e collaboratori autorizzati possono accedere ai dati secondo necessità e obblighi di riservatezza. I dati non sono diffusi. 7. Trasferimenti fuori dallo Spazio Economico Europeo L’istanza n8n indicata è ospitata in Germania. Alcuni fornitori, in particolare GHL, OpenAI, Google, Meta, Cloudflare e Sanity, possono trattare dati anche fuori dallo SEE. In tali casi il trasferimento avviene sulla base di una decisione di adeguatezza applicabile, del Data Privacy Framework ove valido per il destinatario, delle Clausole Contrattuali Standard della Commissione europea e/o delle ulteriori garanzie previste dal Capo V GDPR, secondo i contratti vigenti con ciascun fornitore. Copia o informazioni sulle garanzie possono essere richieste al Titolare. 8. Conservazione - Le richieste che non diventano rapporti contrattuali sono conservate nel CRM per il tempo necessario al riscontro e al follow-up, comunque non oltre 24 mesi dall’ultima interazione significativa, salvo contenzioso o obblighi di legge. - L’identificatore di sessione del tracker GHL/LeadConnector è conservato nel cookie lc_session_<tracking-id> per 1 giorno; se i cookie non sono disponibili può essere conservato nel session storage fino alla chiusura della sessione del browser. Gli eventi trasferiti al CRM seguono la retention GHL sopra indicata. - I dati relativi a clienti e contratti sono conservati per la durata del rapporto e successivamente per i termini fiscali, contabili e di tutela dei diritti applicabili. - Le conversazioni del chatbot e gli input/output delle analisi sono conservati per un massimo di 90 giorni dalla chiusura della richiesta, salvo necessità di ulteriore conservazione per sicurezza, contestazioni o obblighi di legge. - I log di esecuzione dei workflow n8n sono conservati per un massimo di 30 giorni; i dati trasferiti ai sistemi di destinazione seguono invece la retention propria di ciascun sistema. - Lo stato della scelta nel browser scade dopo un massimo di 180 giorni. Le ricevute server del consenso sono conservate per un massimo di 24 mesi e poi cancellate o anonimizzate, salvo necessità di tutela dei diritti. - I fornitori possono applicare periodi tecnici propri descritti nei rispettivi accordi e informative; il Titolare configura, quando disponibili, le opzioni di conservazione più brevi compatibili con il servizio. 9. Natura del conferimento I dati contrassegnati come obbligatori nel modulo sono necessari per gestire la richiesta; senza di essi non è possibile inviarla. Analytics e marketing sono facoltativi: il rifiuto non limita navigazione, modulo, chatbot o richiesta di analisi. L’utente può revocare il consenso in qualsiasi momento da “Preferenze cookie”, senza pregiudicare la liceità del trattamento precedente. 10. Diritti L’interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nonché revocare il consenso, ove applicabili. Può inoltre proporre reclamo al Garante per la protezione dei dati personali. Le richieste possono essere inviate a info@protocollodeminicis.com; il Titolare può chiedere informazioni necessarie a verificare l’identità del richiedente. 11. Informative dei fornitori Informazioni aggiornate sono disponibili nelle informative e nei DPA dei rispettivi fornitori: cloudflare.com/privacypolicy, sanity.io/legal/privacy, gohighlevel.com/privacy-policy, openai.com/policies/privacy-policy, policies.google.com/privacy e privacycenter.instagram.com/policy.