Informativa sulla privacy

Ultimo aggiornamento: 26 ottobre 2026

Questa informativa spiega cosa accade ai dati personali quando visiti atanasiu.me. È redatta ai sensi del Regolamento (UE) 2016/679 (GDPR) e del D.lgs. 196/2003 e successive modifiche (Codice Privacy).

1. Titolare del trattamento

Il titolare del trattamento è Doinel Atanasiu, partita IVA IT 03947550541.

Per qualsiasi questione relativa a questa informativa o ai tuoi dati, il canale che preferisco è l'indirizzo PEC atanasiu@pec.it. Per un contatto generale puoi scrivermi anche a doinel@atanasiu.me.

Non è stato nominato un Responsabile della protezione dei dati: i trattamenti descritti di seguito sono di portata limitata e non ricorrono le condizioni previste dall'art. 37 GDPR.

2. Cosa questo sito non fa

Nessun account utente, nessun login, nessuna sezione commenti.
Nessuna pubblicità, nessun circuito advertising, nessun pixel di retargeting.
Nessun cookie di profilazione e, da parte mia, nessun tracciamento cross-site o cross-device. L'unico servizio a cui prestare attenzione è Microsoft Clarity (3.4): funziona solo se lo accetti, e Microsoft può usare ciò che raccoglie anche per finalità proprie, comprese quelle pubblicitarie.
Nessuna vendita o cessione di dati personali a data broker.
Nessun processo decisionale automatizzato che produca effetti giuridici o similmente significativi (art. 22 GDPR).
Nessun font di terze parti e nessun widget incorporato: i font sono serviti da questo dominio, quindi durante la lettura non parte alcuna richiesta verso Google Fonts o servizi analoghi.

3. Dati trattati

3.1 Log tecnici

Il sito è ospitato su Vercel e ogni richiesta vi arriva passando dalla rete di Cloudflare, che si interpone tra il tuo browser e Vercel. Come qualsiasi server web, entrambe le infrastrutture registrano i dati necessari a servire una richiesta: indirizzo IP, user agent del browser, URL richiesto, referrer e data e ora, a cui Cloudflare aggiunge il Paese da cui proviene la richiesta.

Microsoft Clarity riceve da Cloudflare le statistiche di traffico ricavate da questi log e le usa per distinguere il traffico automatizzato, come i crawler dei motori di ricerca e degli assistenti IA, da quello delle persone. Né Microsoft né Cloudflare documentano quali campi vengano letti, quindi considero il caso peggiore: per ogni richiesta, comprese le tue, Microsoft può ottenere gli stessi dati dei log, cioè indirizzo IP, user agent, URL, referrer, data e ora e Paese. Vi accede con un token che ho creato su Cloudflare: consente di leggere la configurazione e le statistiche del dominio e di configurare l'esportazione dei log (Logpush), ma nessuna esportazione dei log è attiva. Questo flusso non dipende dalla scelta che fai nel banner del consenso (3.4): riguarda ogni richiesta, comprese quelle di chi rifiuta Clarity e quelle dei bot. In base ai termini di Clarity, Microsoft riceve queste statistiche come titolare autonomo e può usarle anche per finalità proprie, comprese quelle pubblicitarie, come descritto al punto 3.4. Di questi dati vedo solo aggregati sui bot: quali visitano il sito, con quale frequenza e quali pagine richiedono.

Finalità: erogare il sito, mantenerlo sicuro, diagnosticare errori e abusi, e capire quali bot e crawler IA leggono i contenuti.
Base giuridica: legittimo interesse alla sicurezza e al corretto funzionamento del mio sito e a sapere come i suoi contenuti vengono raccolti dai sistemi automatizzati (art. 6, par. 1, lett. f, GDPR). Per la lettura delle statistiche da parte di Microsoft ho svolto una valutazione del legittimo interesse, di cui puoi chiedermi copia.
Opposizione: non ho modo di escludere solo le tue richieste dal flusso verso Microsoft. Se ti opponi e la tua opposizione prevale, interrompo l'integrazione con Clarity per tutti (punto 8).
Conservazione: i log di runtime di Vercel che posso consultare coprono solo l'ultima ora; Vercel conserva i propri log di piattaforma secondo la sua informativa privacy. Non ho accesso ai log grezzi di Cloudflare, che li tratta per il tempo necessario a erogare e proteggere il sito. Le statistiche lette da Clarity seguono i tempi di conservazione di Microsoft. Non utilizzo questi log per identificare i singoli visitatori.

3.2 Misurazione del pubblico

Utilizzo Umami, ospitato dal fornitore nella sua regione europea, per sapere quali pagine vengono lette e da dove arrivano i lettori. È uno strumento cookieless: non scrive nulla sul tuo dispositivo. Per distinguere le visite, Umami calcola un identificativo pseudonimo a partire dall'indirizzo IP, dallo user agent del browser e da un sale che cambia ogni mese: per tutto il mese solare lo stesso browser, dalla stessa rete, riceve lo stesso identificativo, che dal mese successivo non è più collegabile ai nuovi. L'indirizzo IP serve solo a questo calcolo e a ricavare un'origine approssimativa, e non viene conservato. Ogni dato raccolto porta con sé l'indirizzo e il titolo della pagina visitata, compresi gli eventuali parametri dell'URL (ad esempio quelli di una campagna), il referrer, l'origine approssimativa (Paese, regione e città) e il dispositivo, il sistema operativo, il browser, la dimensione dello schermo e la lingua. Umami registra inoltre alcuni eventi quando usi i link di contatto, di download e verso i servizi (un click sul link WhatsApp, LinkedIn, GitHub o email, la copia dell'indirizzo email, l'apertura del CV, un link verso la pagina di un servizio), ciascuno con la pagina e la lingua in cui è avvenuto. I report che ricevo contengono solo dati aggregati: non ho alcun modo di ricondurre una sessione a una persona e nessun dato viene condiviso tra siti diversi.

Finalità: capire, in forma aggregata, quali contenuti risultano utili.
Base giuridica: legittimo interesse a misurare il pubblico del mio sito (art. 6, par. 1, lett. f, GDPR). Lo script di Umami fa inviare dal tuo browser alcune informazioni del dispositivo, come la dimensione dello schermo e la lingua, un'operazione che rientra nell'art. 122 del Codice Privacy. Non ti chiedo il consenso perché ritengo che Umami soddisfi nella sostanza le condizioni con cui il Garante equipara gli strumenti di analisi a quelli tecnici (Linee guida cookie e altri strumenti di tracciamento, par. 7.2): i dati servono solo a produrre statistiche aggregate di questo sito, Umami, come responsabile, non li combina con altri trattamenti né li cede a terzi, e sul tuo dispositivo non viene scritto nulla. Il Garante chiede anche che l'identificativo non permetta di isolare un singolo utente, di norma mascherando almeno l'ultima parte dell'indirizzo IP. Umami calcola invece l'identificativo sull'indirizzo IP completo, ma non conserva l'IP e cambia il sale ogni mese, così l'identificativo distingue un browser su una rete solo all'interno di un mese. È una mia valutazione: se non la condividi, puoi opporti come descritto al punto 8. Lo script verifica inoltre se nel local storage è presente la chiave umami.disabled, un interruttore di esclusione che non scrive mai e che non lascia il tuo dispositivo.
Conservazione: i dati restano nel mio account Umami per 6 mesi, il periodo di conservazione del piano che utilizzo.

3.3 Misurazione delle prestazioni

Utilizzo inoltre Vercel Speed Insights, che misura quanto rapidamente le pagine vengono effettivamente visualizzate da chi le legge (i Core Web Vitals). Anche questo strumento non scrive nulla sul tuo dispositivo: il suo script legge dal browser le metriche di caricamento della pagina e il tipo di connessione e le invia a Vercel. La rilevazione è anonima, quindi non può ricostruire una sessione di navigazione tra più pagine né identificare nessuno. Ogni misurazione porta con sé la route e la URL, la velocità di connessione, il browser, il tipo di dispositivo e il sistema operativo, il Paese, la metrica stessa e l'elemento della pagina a cui si riferisce.

Finalità: individuare e correggere le pagine che si visualizzano lentamente.
Base giuridica: legittimo interesse al corretto funzionamento e alla qualità del mio sito (art. 6, par. 1, lett. f, GDPR). Anche qui l'invio di informazioni dal tuo browser rientra nell'art. 122 del Codice Privacy, e anche qui non ti chiedo il consenso perché lo strumento rispetta le condizioni del Garante richiamate al punto 3.2: nessun identificativo, solo statistiche aggregate di questo sito, e Vercel, come responsabile, non le combina con altri trattamenti.
Conservazione: Vercel non pubblica un periodo di conservazione per queste misurazioni; la dashboard a mia disposizione mostra le ultime 24 ore o gli ultimi 7 giorni.

3.4 Registrazione delle sessioni (Microsoft Clarity, solo con il tuo consenso)

Se lo accetti nel banner che compare alla prima visita, utilizzo Microsoft Clarity per capire come vengono usate le singole pagine: click, scorrimento, movimento del mouse, la pagina così come viene visualizzata, compreso il suo testo, le pagine visitate e il referrer, incluso se una visita proviene da un link generato da un assistente IA come ChatGPT, Perplexity o Copilot. Insieme a questi dati Clarity riceve l'indirizzo IP, da cui ricava il Paese, e alcune caratteristiche del dispositivo: modello, sistema operativo e relativa versione, browser, lingua, fuso orario, risoluzione e profondità di colore dello schermo, numero di processori, memoria e supporto touch. Clarity riceve anche gli stessi eventi di contatto e di download descritti al punto 3.2, con la pagina e la lingua in cui sono avvenuti. Se rifiuti, o finché non scegli, Clarity non viene caricato affatto.

Anche dopo il consenso Clarity non scrive alcun cookie: sono disattivati per il progetto, e il sito indica a Clarity di non usare l'archiviazione sul tuo dispositivo né a fini analitici né pubblicitari. Ogni pagina visualizzata diventa quindi una registrazione a sé, con un identificativo che Clarity le assegna. Questo sito non ha moduli, account o login, quindi non c'è alcun testo libero che Clarity possa acquisire. Se il tuo browser invia il segnale Global Privacy Control (GPC), Clarity non registra nulla anche dopo che l'hai accettato; lo script viene comunque scaricato dai server di Microsoft, che ricevono quella richiesta come per qualsiasi risorsa web.

Qui Microsoft non agisce per mio conto. In base ai termini di Clarity, io e Microsoft siamo titolari autonomi di questi dati, e Microsoft può usarli per qualsiasi finalità consentita dalla Microsoft Privacy Statement: fornire e migliorare i propri prodotti, fornire Microsoft Advertising e creare profili degli utenti, anche a fini pubblicitari. Il sito comunica a Clarity che l'archiviazione pubblicitaria è negata, il che secondo Microsoft significa che Clarity non condivide nulla con Microsoft Ads; ciò che Microsoft fa dei dati oltre a questo è regolato dalla sua informativa, non da me. Della raccolta dei dati sul sito e della loro trasmissione a Microsoft, che avvengono tramite lo script che ho inserito io, rispondo comunque anch'io insieme a Microsoft, come chiarito dalla Corte di giustizia dell'UE (causa C-40/17, Fashion ID).

Finalità: capire in modo più dettagliato rispetto ai dati aggregati del punto 3.2 come vengono effettivamente usati i contenuti e il layout del sito, e misurare quanto traffico arriva dagli assistenti IA.
Base giuridica: il tuo consenso (art. 6, par. 1, lett. a, GDPR e art. 122 del Codice Privacy). Puoi revocarlo in qualsiasi momento da «Preferenze privacy» in fondo a ogni pagina: Clarity smette subito di registrare e la pagina si ricarica senza di esso. Ciò che aveva già registrato fino a quel momento, compresi i click nel pannello delle preferenze, viene inviato a Microsoft mentre la pagina si ricarica. La revoca non pregiudica la liceità di quanto raccolto prima. La scelta ti viene richiesta di nuovo dopo sei mesi.
Conservazione: le registrazioni sono conservate per 30 giorni; quelle che segno come preferite o a cui assegno un'etichetta, e un campione scelto a caso da Clarity, sono conservate fino a 9 mesi, come i dati delle mappe di calore e dei click. Allo scadere del periodo Clarity li elimina automaticamente, backup compresi.

3.5 Se mi contatti

Se mi scrivi via email, all'indirizzo pubblicato su questo sito, oppure con un messaggio su WhatsApp o su LinkedIn, tratto ciò che mi invii: il tuo nome, il tuo indirizzo email o numero di telefono e il contenuto del messaggio. I pulsanti WhatsApp aprono una chat con un messaggio precompilato che cita la pagina da cui arrivi, che puoi modificare o cancellare prima dell'invio.

Finalità: risponderti e, se pertinente, valutare una possibile collaborazione.
Base giuridica: per gli scambi relativi a un possibile incarico, l'esecuzione di misure precontrattuali adottate su tua richiesta (art. 6, par. 1, lett. b, GDPR). Per ogni altra corrispondenza, il legittimo interesse a rispondere a chi mi scrive (art. 6, par. 1, lett. f, GDPR).
Conservazione: per il tempo in cui lo scambio resta professionalmente rilevante. La corrispondenza legata a un incarico è conservata per la durata dell'incarico e per i termini imposti dalla normativa fiscale e civilistica italiana.
Il conferimento di questi dati è facoltativo, ma senza almeno un indirizzo email o un numero di telefono non ho modo di risponderti.

3.6 Download del CV

Il CV pubblicato su /cv è un PDF statico. Il download non prevede alcun modulo né alcuna raccolta ulteriore rispetto ai log tecnici descritti al punto 3.1.

Questo sito non utilizza alcun cookie: né di profilazione, né di marketing, né tecnico. Umami (3.2) non scrive nulla sul tuo dispositivo, e nemmeno Microsoft Clarity (3.4), anche dopo che lo hai accettato. Il banner che vedi alla prima visita non riguarda i cookie: ti chiede il consenso a Clarity, per ciò che Microsoft può fare dei dati che raccoglie.

La lingua della pagina segue l'URL che apri - l'inglese è la lingua predefinita del sito - oppure la scelta fatta con il selettore in alto a destra. Quella scelta vale solo per la navigazione in corso: non viene ricordata da una visita all'altra, perché non viene scritto alcun cookie né alcun altro dato sul tuo dispositivo per farlo.

Se scegli un tema colore (chiaro, scuro o di sistema) con il pulsante in alto a destra, la scelta viene salvata nel local storage del tuo browser con la chiave atanasiu.me-theme, così da essere mantenuta da una visita all'altra. Resta sul tuo dispositivo, non viene mai inviata a un server e non ha alcuna finalità analitica o pubblicitaria; puoi rimuoverla in qualsiasi momento cancellando i dati del sito dal browser.

Anche la risposta che dai al banner viene salvata nel local storage, con la chiave atanasiu.me-consent, insieme alla data in cui l'hai data, così che il banner non ricompaia a ogni pagina. Viene conservata per sei mesi, dopo i quali il banner te la richiede. Resta sul tuo dispositivo e non viene mai inviata a un server; cancellando i dati del sito dal browser la rimuovi e il banner ricompare.

A parte queste due preferenze, il sito non archivia nulla sul tuo dispositivo: nessun cookie, nessun session storage, nessun IndexedDB, nessun fingerprinting del browser. La piattaforma di hosting e Cloudflare possono impostare propri cookie strettamente tecnici quando le loro misure di sicurezza lo richiedono - mitigazione dei bot, verifica di una richiesta sospetta o protezione di un deployment - senza alcuna finalità analitica o pubblicitaria.

5. Chi altro vede i dati

Questi fornitori trattano i dati per mio conto, in qualità di responsabili del trattamento:

Vercel Inc. - hosting, CDN e misurazione delle prestazioni. Utilizzo il piano gratuito (Hobby): il Data Processing Addendum di Vercel si applica ai piani Pro ed Enterprise, mentre per il mio piano il trattamento è regolato dai Termini di servizio di Vercel, che rinviano allo stesso addendum, e dalla sua informativa privacy.
Cloudflare, Inc. - rete di distribuzione e protezione del traffico, e statistiche di traffico lette da Microsoft Clarity, sulla base di un accordo sul trattamento dei dati.
Umami Software, Inc. - misurazione del pubblico (Umami), sulla base di un accordo sul trattamento dei dati.
Google Ireland Limited - Google Workspace, che ospita la casella di posta su cui arrivano i tuoi messaggi.
Aruba PEC S.p.A. - il gestore di posta elettronica certificata che opera la casella pec.it, se mi scrivi all'indirizzo PEC.

Questi agiscono come titolari autonomi del trattamento, secondo la propria informativa privacy:

Microsoft Ireland Operations Limited - Microsoft Clarity: registrazione delle sessioni e mappe di calore, solo se le accetti (3.4), e analisi del traffico automatizzato sulle statistiche lette da Cloudflare (3.1). Vedi la Microsoft Privacy Statement.
WhatsApp Ireland Limited - solo se scegli di contattarmi su WhatsApp, per quello scambio.
LinkedIn Ireland Unlimited Company - solo se scegli di contattarmi su LinkedIn, per quello scambio.

I dati possono inoltre essere comunicati quando la legge lo impone o su legittima richiesta di un'autorità pubblica.

6. Trasferimenti fuori dallo SEE

Quattro dei responsabili indicati sopra, e Microsoft come titolare autonomo, sono o si appoggiano a società stabilite negli Stati Uniti.

Vercel Inc. è certificata nell'ambito dell'EU-US Data Privacy Framework, su cui si fondano i trasferimenti verso Vercel. Il suo Data Processing Addendum, che incorpora le Clausole contrattuali standard, si applica ai piani Pro ed Enterprise e non al piano che utilizzo (punto 5).
Cloudflare, Inc. è certificata nell'ambito dell'EU-US Data Privacy Framework e il suo Data Processing Addendum incorpora inoltre le Clausole contrattuali standard.
Microsoft Clarity mi è fornito da Microsoft Ireland Operations Limited, e i dati di Clarity sono conservati nel cloud Microsoft Azure, anche negli Stati Uniti. Secondo le FAQ di Clarity, il trasferimento da Microsoft Ireland Operations Limited a Microsoft Corporation si fonda sulle Clausole contrattuali standard stipulate tra le due società. Microsoft Corporation è certificata nell'ambito dell'EU-US Data Privacy Framework, ma dichiara di non farvi affidamento per i trasferimenti dall'UE.
Google Workspace mi è fornito da Google Ireland Limited. Quando i dati raggiungono Google LLC negli Stati Uniti, il trasferimento si fonda sul Cloud Data Processing Addendum di Google, che incorpora le Clausole contrattuali standard, e sulla certificazione di Google LLC nell'ambito dell'EU-US Data Privacy Framework.
Umami Software, Inc. è stabilita negli Stati Uniti. Ho scelto la sua regione europea per l'archiviazione dei dati, ma il servizio si appoggia anche a sub-responsabili statunitensi, tra cui quelli di CDN, hosting, logging e servizi di intelligenza artificiale generativa. I trasferimenti verso gli Stati Uniti si fondano sulle Clausole contrattuali standard incorporate nel Data Processing Agreement del fornitore.

Verso tutti questi fornitori i dati viaggiano cifrati. Gli addendum di Cloudflare, Google e Umami collegati sopra incorporano le Clausole contrattuali standard e puoi comunque richiedermene copia scrivendo alla PEC atanasiu@pec.it. Le certificazioni di Vercel, Cloudflare e Google nell'ambito del Data Privacy Framework sono verificabili nell'elenco pubblico del Data Privacy Framework.

7. Sicurezza

Il traffico è servito esclusivamente su HTTPS con HSTS e passa dalla rete di Cloudflare, che filtra gli attacchi prima che raggiungano il sito. Il sito invia una Content Security Policy che limita le origini da cui una pagina può caricare codice, stili, font e immagini e, tramite la direttiva connect-src, le origini verso cui può inviare dati. È accompagnata dai consueti header di protezione (X-Content-Type-Options, Referrer-Policy, X-Frame-Options, Permissions-Policy), che limitano ciò che una pagina può fare e come può essere incorporata.

8. I tuoi diritti

Ai sensi degli artt. da 15 a 21 GDPR hai il diritto di ottenere l'accesso ai tuoi dati, la loro rettifica o cancellazione e la limitazione del trattamento. La portabilità (art. 20 GDPR) riguarda gli scambi descritti al punto 3.5 che si fondano su misure precontrattuali e le registrazioni delle sessioni del punto 3.4, che si fondano sul tuo consenso; ogni altro trattamento descritto in questa informativa si fonda sul legittimo interesse e non è portabile.

Revoca del consenso

Puoi revocare il consenso alla registrazione delle sessioni (3.4) in qualsiasi momento da «Preferenze privacy» in fondo a ogni pagina, con la stessa facilità con cui l'hai dato (art. 7, par. 3, GDPR). Per i dati che Microsoft tratta come titolare autonomo puoi esercitare i tuoi diritti anche direttamente nei confronti di Microsoft, come descritto nella sua informativa.

Diritto di opposizione

Quando il trattamento si fonda sul legittimo interesse - log tecnici (3.1), misurazione del pubblico (3.2), misurazione delle prestazioni (3.3) e corrispondenza ordinaria (3.5) - hai il diritto di opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare, ai sensi dell'art. 21 GDPR. Un messaggio è sufficiente e, se non posso dimostrare motivi legittimi cogenti prevalenti sui tuoi interessi, il trattamento cessa. Per le statistiche di traffico lette da Microsoft (3.1), che non posso limitare a un singolo visitatore, cessa interrompendo l'integrazione per tutti.

Per esercitare questi diritti scrivi alla PEC atanasiu@pec.it. Risponderò entro un mese, come previsto dall'art. 12, par. 3, GDPR. Tieni presente che per i log tecnici e per le statistiche non dispongo di alcun identificativo che permetta di collegare i dati a te: potrei quindi non essere in grado di dare seguito alla richiesta senza informazioni ulteriori che identifichino i dati in questione (art. 11 GDPR).

Se ritieni che i tuoi dati siano trattati illecitamente, puoi proporre reclamo al Garante per la protezione dei dati personali o all'autorità di controllo del tuo Paese di residenza, fermo restando il diritto di ricorrere all'autorità giudiziaria.

9. Link esterni

Le pagine di questo sito rimandano a servizi di terze parti - WhatsApp, LinkedIn, GitHub, Google Maps e le fonti citate negli articoli e nei progetti. Una volta seguito uno di quei link si applica l'informativa privacy del sito di destinazione. Non ho alcun controllo, né alcuna responsabilità, sul modo in cui quei servizi trattano i tuoi dati.

10. Minori

Questo sito si rivolge a un pubblico professionale e non è destinato ai minori. Non raccolgo consapevolmente dati riferiti a persone di età inferiore ai 14 anni.

11. Modifiche a questa informativa

Questa informativa può essere aggiornata con l'evolvere del sito. La data indicata in alto riflette sempre la versione in vigore e ogni modifica sostanziale sarà visibile lì.