Informativa privacy

Il titolare del trattamento è Luigi Garone, persona fisica, che pubblica questo sito sotto il nome Cryptoverso. Oggi non esiste una società: quando esisterà, i suoi dati identificativi — denominazione, sede legale, partita IVA e iscrizione al registro delle imprese — compariranno in fondo a ogni pagina e in home page, come prescrive l’articolo 2250 del codice civile, e questa informativa dirà chi è il titolare da quel momento.

Finché il titolare è una persona fisica, i dati che lo identificano sono il nome e un recapito, e stanno qui: l’articolo 2250 riguarda le società, e pubblicare righe societarie che non esistono ancora sarebbe un’informazione falsa, non una cautela in più.

L’indirizzo a cui scrivere per qualunque questione relativa ai dati personali è info@cryptoverso.net. È lo stesso indirizzo a cui si esercitano i diritti elencati più avanti, e le richieste che arrivano lì le legge il titolare.

Non abbiamo nominato un responsabile della protezione dei dati, perché non ricorre nessuno dei casi in cui l’articolo 37 del Regolamento lo impone. Se un giorno lo nomineremo, questa informativa porterà i suoi contatti.

Trattiamo dati personali solo per far funzionare questo sito e per tenerlo sicuro. In particolare:

• erogazione del sito: consegnare le pagine richieste, ricordare la lingua scelta e mantenere il sito raggiungibile. La base giuridica è il legittimo interesse a fornire il servizio che l’utente stesso ha richiesto, ai sensi dell’articolo 6, paragrafo 1, lettera f) del Regolamento;
• sicurezza e diagnostica: individuare abusi, attacchi automatizzati e malfunzionamenti attraverso i registri tecnici del fornitore di hosting. Anche qui la base giuridica è il legittimo interesse, ed è un interesse che riguarda tanto noi quanto chi legge;
• misurazione del traffico e analisi dell’uso del sito: capire quali pagine vengono lette e in che modo, con Google Analytics 4 dentro Google Tag Manager e con Microsoft Clarity. Qui la base giuridica è il consenso — articolo 6, paragrafo 1, lettera a) del Regolamento e articolo 122 del Codice — ed è una finalità distinta da quelle tecniche qui sopra: senza consenso nessuno di quegli strumenti viene caricato, e nessun dato viene raccolto;
• adempimenti di legge: conservare ciò che una norma ci obbliga a conservare, quando ci obbliga. La base giuridica è l’obbligo legale, articolo 6, paragrafo 1, lettera c).

Oltre a questo il sito raccoglie dati che gli interessati ci forniscono: il modulo di contatto, l’iscrizione alla newsletter, la creazione di un account e gli ordini. Per il contatto e per gli ordini la base giuridica è l’esecuzione del contratto o delle misure precontrattuali richieste dall’interessato, articolo 6, paragrafo 1, lettera b); per la newsletter è il consenso, lettera a), che si presta con una conferma per email e si revoca con il collegamento presente in ogni invio.

Non trattiamo dati personali per finalità di marketing e non costruiamo profili di chi legge. Gli strumenti di misurazione sono configurati con i campi pubblicitari negati sempre, anche per chi accetta le statistiche: la loro descrizione, cookie per cookie, sta nella cookie policy.

Una precisazione che vale più di una rassicurazione: oggi nessuno strumento di misurazione è attivo su questo sito. Gli identificativi di Google Tag Manager, di Google Analytics e di Microsoft Clarity non sono configurati, quindi quegli strumenti non vengono caricati nemmeno per chi acconsente, e quei fornitori non ricevono alcun dato. Le sezioni che li descrivono restano perché dicono che cosa accadrebbe se venissero attivati, e perché la scelta si può già esprimere: il giorno in cui uno di loro entrasse in funzione, questa informativa direbbe da quando.

Una parte dei dati è generata dal semplice fatto tecnico che un browser chiede una pagina a un server:

• indirizzo IP di provenienza della richiesta;
• data e ora della richiesta, indirizzo della pagina richiesta e codice di risposta del server;
• tipo e versione di browser e di sistema operativo, come dichiarati dal browser stesso;
• pagina di provenienza, quando il browser la trasmette.

A questi si aggiungono i dati che ci vengono forniti, ciascuno per la propria finalità: nome, indirizzo email e testo del messaggio per chi scrive dal modulo di contatto; indirizzo email per chi si iscrive alla newsletter, con la data della conferma; indirizzo email e credenziali per chi apre un account, insieme ai diritti d’accesso che gli sono stati riconosciuti; i dati dell’ordine per chi acquista — che cosa, quando, a quale prezzo e con quale mezzo di pagamento; il registro della scelta sui cookie per chi ha un account; e un registro tecnico delle richieste ai moduli, in cui l’indirizzo IP è conservato in forma di impronta e non in chiaro, per riconoscere gli invii automatizzati senza identificare chi naviga.

Sono i dati che compaiono nei registri tecnici di qualunque server web. Non li usiamo per identificare le persone e non li incrociamo con altri dati.

Se acconsenti agli strumenti di misurazione, si aggiungono i dati che quegli strumenti raccolgono:

• statistiche: le pagine viste e la loro sequenza, la provenienza della visita, la lingua, il tipo di dispositivo e di browser;
• registrazione delle sessioni: i movimenti del puntatore, i clic e lo scorrimento, con il mascheramento attivo su testo, campi dei moduli e immagini. La visita viene ripercorsa, ed è la ragione per cui è una categoria di consenso separata dalle statistiche.

Senza il tuo consenso nessuno di questi dati esiste, perché nessuno degli strumenti che li raccolgono viene caricato.

Non trattiamo categorie particolari di dati personali ai sensi dell’articolo 9 del Regolamento, e non chiediamo mai informazioni sul patrimonio, sulle posizioni finanziarie o sulla propensione al rischio di chi ci scrive: raccogliere dati sulla situazione di una persona e restituirle indicazioni su strumenti finanziari configurerebbe un’attività riservata, che non svolgiamo.

Ciò che il sito archivia sul dispositivo di chi legge — un cookie tecnico per la lingua, una preferenza di lettura, il registro della scelta sui cookie e, per chi acconsente, i cookie di Google e di Microsoft — è descritto per esteso, nome per nome, nella cookie policy, raggiungibile dal piede di ogni pagina.

Quando scarichi un file da questo sito ne teniamo un registro. Il registro è diverso secondo che tu abbia un account oppure no, e descriviamo le due strade separatamente.

Con un account, ogni consegna di un file riservato agli account resta registrata insieme al tuo account:

• i PDF delle pubblicazioni: quale pubblicazione, in che lingua e in quale versione, con data e ora;
• i materiali di replica delle pubblicazioni: quale file, riconosciuto dalla sua impronta, con data e ora;
• i volumi dei libri: quale volume, in che lingua e in quale edizione, con data e ora. Il codice della consegna è lo stesso che compare nella filigrana della copia.

Accanto a questi registri conserviamo la lingua di un ordine e quella dell’acquisto di un libro. Servono a consegnarti ciò che ti spetta, a limitare gli abusi, a ricostruire la provenienza di una copia diffusa senza autorizzazione e a contare quante persone scaricano ciascuna opera e in che lingua. La base giuridica è l’esecuzione del contratto con cui ti è stato riconosciuto l’accesso (articolo 6, paragrafo 1, lettera b del Regolamento) e, per il conteggio, il nostro legittimo interesse (lettera f). Le righe dei download restano finché esiste il tuo account e si cancellano con lui; la lingua di un ordine segue la conservazione dell’ordine, descritta più avanti.

Alcuni PDF si possono scaricare senza account. Per sapere quante persone li scaricano, e in che lingua, calcoliamo un’impronta giornaliera: una funzione crittografica a senso unico (SHA-256) applicata all’indirizzo IP, al tipo di browser dichiarato e alla pubblicazione, insieme a un valore casuale che vale un giorno solo e che viene distrutto alla fine della giornata. L’indirizzo IP serve soltanto a calcolare l’impronta e non viene conservato, e nessun cookie viene scritto sul tuo dispositivo. Distrutto il valore del giorno, l’impronta non si può più ricondurre a nessun indirizzo, e il giorno dopo la stessa persona ne produce un’altra: il conteggio non riconosce chi torna.

Per ogni consegna di un PDF libero conserviamo la pubblicazione, la lingua, la versione, la data e l’ora, l’impronta del giorno e l’indicazione che la richiesta viene da un programma automatico, riconosciuto dal tipo di browser dichiarato. La finalità è soltanto statistica — sapere quante persone leggono ciascuna opera e in che lingua — e la base giuridica è il nostro legittimo interesse a misurare la diffusione delle pubblicazioni in una forma che non identifica chi legge (articolo 6, paragrafo 1, lettera f del Regolamento). Il numero che ne ricaviamo è una stima e sbaglia nei due versi: più persone dietro la stessa rete possono contare come una, e una persona che cambia rete nello stesso giorno come due.

Pacchetti dei quaderni e codici d’accesso. Chi ha un volume può generare dal proprio account un codice personale con cui scaricare il pacchetto dei quaderni, anche da Colab. Il codice in chiaro si mostra una volta sola e non lo conserviamo: ne teniamo soltanto l’impronta SHA-256, insieme all’account, al prodotto e alla lingua della pagina da cui è stato chiesto, all’ora di emissione e alla scadenza. Il codice vale 24 ore, e un codice nuovo revoca il precedente.

Per ogni ritiro di un pacchetto conserviamo l’account, il prodotto, la versione, la lingua, la data e l’ora, se il ritiro è passato dal codice o dalla sessione del sito, e un’impronta giornaliera calcolata come quella descritta sopra per i PDF scaricati senza account: l’indirizzo IP entra nel calcolo e non viene conservato.

Questi dati servono a consegnare il pacchetto a chi ha il volume, a contare i download di ciascuna opera per lingua e ad accorgersi di un codice condiviso con altri. Li vede soltanto l’amministrazione del sito, e nessuno di essi compare in pubblico. La base giuridica è l’esecuzione del contratto con cui ti è stato riconosciuto l’accesso al volume (articolo 6, paragrafo 1, lettera b del Regolamento) e, per il conteggio e per l’uso improprio dei codici, il nostro legittimo interesse (lettera f).

Conservazione: le righe dei codici si cancellano novanta giorni dopo la loro scadenza; il registro dei ritiri segue la regola dei download con account descritta sopra, e si cancella con l’account.

Ogni tentativo di entrare in un account di questo sito — con la password, chiedendo un collegamento via email, aprendo quel collegamento o da un’altra pagina d’accesso del sito — lascia una riga in un registro degli accessi. La riga contiene la data e l’ora, il modo in cui si è tentato l’accesso, l’esito (riuscito, non riuscito, fermato dal limite di richieste, collegamento richiesto), l’account quando è noto, il tipo di browser dichiarato, troncato a 200 caratteri, e due impronte: una dell’indirizzo email digitato e una dell’indirizzo IP.

Le impronte sono calcolate con una funzione crittografica a senso unico (HMAC-SHA256) e una chiave segreta che conosce soltanto il server: permettono di riconoscere tentativi ripetuti sullo stesso indirizzo, ma da un’impronta non si ricavano né l’email né l’indirizzo IP. Nel registro l’email e l’indirizzo IP non compaiono mai in chiaro. Sono dati pseudonimi, e quindi restano dati personali.

Il registro serve alla sicurezza degli account: accorgersi di tentativi ripetuti, di accessi da provenienze insolite e di abusi del modulo d’accesso. Lo vede soltanto l’amministrazione del sito, e nessuno dei suoi dati compare in pubblico. La base giuridica è il nostro legittimo interesse a proteggere gli account e il sito (articolo 6, paragrafo 1, lettera f del Regolamento).

Conservazione: le righe del registro degli accessi si cancellano dopo 90 giorni, con una procedura automatica che gira ogni giorno.

I dati non vengono diffusi e non vengono ceduti a nessuno per finalità commerciali. Li trattano per nostro conto, in qualità di responsabili del trattamento ai sensi dell’articolo 28 del Regolamento:

• Google Ireland Ltd., con Google LLC, per Google Tag Manager e Google Analytics 4: soltanto se acconsenti alle statistiche;
• Microsoft Corporation, per Microsoft Clarity: soltanto se acconsenti alla registrazione delle sessioni;
• il fornitore dell’infrastruttura di hosting e di distribuzione dei contenuti, che gestisce i server da cui questo sito è servito e i relativi registri tecnici;
• il fornitore del servizio di invio delle email, che recapita le conferme, le risposte e gli avvisi legati a un ordine o a un account;
• professionisti e consulenti che ci assistono in materia contabile, fiscale e legale, nei limiti dei rispettivi incarichi.

I primi due sono nominati per esteso, e non per categoria, perché sono terze parti che ricevono dati direttamente dal browser di chi legge: è una differenza che merita un nome e non un’etichetta. Senza il tuo consenso non ricevono nulla, perché i loro strumenti non vengono nemmeno caricati.

L’elenco nominativo degli altri fornitori viene pubblicato insieme ai dati definitivi del titolare, ed è disponibile su richiesta.

Google e Microsoft possono trattare dati negli Stati Uniti. Entrambi dichiarano di aderire al Data Privacy Framework fra Unione europea e Stati Uniti e di applicare, in aggiunta o in alternativa, le clausole contrattuali tipo approvate dalla Commissione europea.

Riportiamo ciò che i due fornitori dichiarano, e non lo certifichiamo noi: la verifica di quelle dichiarazioni fa parte della validazione legale ancora da compiere, e scrivere qui una garanzia come accertata sarebbe un’affermazione più forte di quella che oggi possiamo sostenere. Se non acconsenti agli strumenti di misurazione, questo trasferimento non avviene affatto, perché nessun dato lascia il tuo browser verso quei fornitori.

Anche gli altri fornitori indicati sopra possono trattare dati in paesi fuori dallo Spazio economico europeo. Quando accade, il trasferimento avviene solo se ricorre una delle garanzie previste dal capo V del Regolamento: una decisione di adeguatezza della Commissione europea oppure clausole contrattuali tipo approvate dalla Commissione. La garanzia applicata a ciascuno viene indicata nell’elenco pubblicato insieme ai dati definitivi del titolare.

Non conserviamo dati personali più a lungo di quanto serva alla finalità per cui sono stati raccolti. I criteri sono questi:

• i registri tecnici del server sono conservati per il tempo necessario alla sicurezza e alla diagnostica, secondo la politica di conservazione del fornitore di hosting, e poi cancellati o resi anonimi;
• i dati eventualmente forniti in una futura richiesta di contatto saranno conservati per il tempo necessario a gestire la richiesta e, se ne nasce un rapporto, per la durata del rapporto;
• i dati raccolti dagli strumenti di misurazione restano presso i rispettivi fornitori per il periodo impostato nella configurazione della proprietà Google Analytics 4 e del progetto Clarity. È un valore di configurazione, e lo dichiariamo come tale: il periodo effettivamente impostato viene annotato insieme alla configurazione e cambia con essa, mentre scrivere qui una durata che il fornitore non applicherebbe sarebbe soltanto una frase rassicurante;
• il registro della tua scelta sui cookie resta nel tuo browser fino a sei mesi, e poi la scelta ti viene richiesta di nuovo. Puoi cancellarlo prima, dalle impostazioni del browser;
• ciò che una norma impone di conservare — documenti contabili e fiscali in primo luogo — resta per il periodo che quella norma stabilisce.

Indichiamo i criteri e non una durata unica in mesi, perché una durata scritta a caso è una dichiarazione falsa: l’articolo 13 ammette esplicitamente i criteri quando il periodo non è determinabile in anticipo.

Chi visita questo sito può esercitare, nei limiti previsti dagli articoli da 15 a 22 del Regolamento, i seguenti diritti:

• accesso ai propri dati personali e alle informazioni sul loro trattamento;
• rettifica dei dati inesatti e integrazione di quelli incompleti;
• cancellazione dei dati, nei casi previsti dall’articolo 17;
• limitazione del trattamento, nei casi previsti dall’articolo 18;
• portabilità dei dati trattati con mezzi automatizzati sulla base del consenso o di un contratto;
• opposizione al trattamento fondato sul legittimo interesse, per motivi connessi alla situazione particolare dell’interessato;
• revoca del consenso in qualsiasi momento, senza che ciò pregiudichi la liceità del trattamento svolto prima della revoca.

La revoca del consenso agli strumenti di misurazione non richiede di scriverci: si esercita dal comando «Preferenze sui cookie», in fondo a ogni pagina di questo sito. È lo stesso comando con cui il consenso si dà, non una copia e non una procedura diversa, ed è la ragione per cui revocare costa un clic esattamente quanto è costato acconsentire.

Un limite che dichiariamo invece di tacerlo. La prova del consenso dato prima di avere un account vive nel browser di chi lo ha dato — è il registro descritto nella cookie policy — e non presso di noi: se ci chiedessi che cosa hai acconsentito e quando, oggi non saremmo in grado di dimostrarlo. Per chi crea un account la registrazione esiste già dalla nostra parte, in sola aggiunta e consultabile dalla pagina del profilo; per il consenso dato senza account arriverà, e non indichiamo una data perché sarebbe una previsione travestita da impegno.

La richiesta si presenta al titolare del trattamento, all’indirizzo info@cryptoverso.net indicato in apertura di questa informativa. Rispondiamo entro un mese dalla ricezione, come prescrive l’articolo 12.

Chi ritiene che il trattamento dei propri dati personali violi il Regolamento ha diritto di proporre reclamo al Garante per la protezione dei dati personali, che è l’autorità di controllo italiana, secondo le modalità indicate sul sito dell’autorità.

Resta ferma la possibilità di rivolgersi all’autorità giudiziaria. Il reclamo al Garante non è una condizione preliminare: sono due strade indipendenti.

I dati di navigazione descritti sopra non sono conferiti volontariamente: sono generati dal funzionamento dei protocolli di rete, e senza di essi il server non potrebbe rispondere a una richiesta. Non trattarli significherebbe non erogare il sito.

Nei moduli del sito i campi indispensabili sono indicati come obbligatori, e il rifiuto di compilarli ha una sola conseguenza: quella richiesta non può essere evasa — non si riceve una risposta, non si completa l’iscrizione, non si crea l’account, non si registra l’ordine. Nessun campo chiede informazioni sul patrimonio, sulle posizioni o sulla propensione al rischio, per la ragione scritta più sopra.

Non effettuiamo alcun processo decisionale automatizzato relativo a persone fisiche, compresa la profilazione, ai sensi dell’articolo 22 del Regolamento.

Lo scriviamo esplicitamente perché su un sito di ricerca quantitativa è la domanda che un lettore attento si pone: gli algoritmi che pubblichiamo elaborano serie storiche di mercato, non i dati di chi legge, e nessun loro risultato produce effetti giuridici o incide in modo analogamente significativo su una persona.

Questa informativa cambia quando cambiano i trattamenti che descrive — un modulo di contatto, uno strumento di misurazione, un nuovo fornitore — e mai per abbellirla. La data di revisione in testa alla pagina è la data dell’ultima modifica sostanziale.

Le versioni italiana e inglese dicono la stessa cosa: se una discrepanza emergesse, fa fede la versione italiana, perché è la lingua del titolare e del diritto applicabile.