Che dati ho della sua attività, e come farli sparire

Il titolare del trattamento sono io, in prima persona: Matteo Oggionni, ditta individuale in regime forfettario, che lavora con il nome commerciale Your Easy Website. Dietro il nome commerciale il titolare è una persona sola, che risponde di questi dati: non una società, non un call center.

• Telefono (anche WhatsApp)+39 339 2929866
• Emailoggionnimatteo@gmail.com

Non ho nominato un responsabile della protezione dei dati (DPO): non sono tenuto a farlo e, con una ditta di una persona, sarei comunque io. Ai due recapiti qui sopra risponde sempre una persona reale.

Sono tutti dati che riguardano l’attività, non la sua vita privata. Non tratto categorie particolari di dati (salute, opinioni, convinzioni), non ne raccolgo e non ne voglio.

• Nome dell’attività, categoria, indirizzo, numero di telefonoGoogle Places API (il profilo pubblico della sua attività su Google Maps)
• Valutazione media e numero di recensioni, l’indirizzo del sito indicato sul profiloGoogle Places API
• Indirizzo email dell’attività, insieme alla pagina esatta da cui l’ho preso. Che sia pubblicato non vuol dire che posso scriverle: vedi il punto 4Il suo sito pubblico, letto automaticamente — oppure inserito a mano da me se l’ho trovato altrove, o se me l’ha dato lei
• Misure tecniche del sito (velocità, resa da telefono, HTTPS, tecnologie, anno nel footer) e schermate delle pagine pubblicheIl suo sito pubblico e Google PageSpeed Insights
• Testi e fotografie già pubblicati sul sito, usati per costruire la bozzaIl suo sito pubblico
• Le email scambiate con lei e l’esito (risposta, rifiuto, nessuna risposta)La corrispondenza stessa

Quando leggo il suo sito lo faccio con un programma che si identifica (PMIProspector/1.0 con il mio indirizzo email dentro), che non apre più di cinque pagine e non fa più di una richiesta al secondo. Non entro in nessuna area riservata e non provo password: leggo solo quello che legge chiunque apra il sito.

Se usa il link «non mi scriva più» che trova in fondo alle mie email, registro il suo «no» con data e ora, e quanto basta a non ricontattarla (punto 5). Se il link è sbagliato o non più valido, del tentativo registro data, ora, indirizzo IP e browser: servono solo a fermare gli abusi, e li cancello entro 12 mesi.

Per una finalità sola: guardare il sito della sua attività, prepararle una bozza di come potrebbe essere, e proporgliela una volta. Nient’altro.

Non li uso per newsletter, non li uso per statistiche, non li uso per addestrare nulla e non li uso per costruire profili commerciali da rivendere.

Dipende da come la contatto, e le due cose sono diverse.

Per tenere i dati della sua attività e per contattarla di persona, al telefono o per posta: il mio legittimo interesse a proporre i miei servizi a chi potrebbe averne bisogno (art. 6, par. 1, lett. f del GDPR).

Per scriverle un’email: solo il suo consenso preventivo. La legge italiana (art. 130, comma 2 del Codice privacy) lo chiede per la posta elettronica commerciale, e il comma 3 apre alle altre basi del GDPR soltanto per mezzi diversi da quelli che elenca: per l’email il legittimo interesse non è disponibile. Non fa eccezione che lei sia un’impresa, né che l’email sia scritta a mano una alla volta. Il fatto che un indirizzo sia pubblicato sul suo sito non è un consenso, e non lo tratto come tale.

Se è lei a scrivermi o a chiamarmi per primo, le rispondo sulla base della sua richiesta (art. 6, par. 1, lett. b del GDPR, misure precontrattuali): in quel caso il consenso glielo chiedo comunque per i contatti successivi.

Prima di usare il legittimo interesse ho pesato il mio interesse contro il suo diritto a non essere disturbata, e questi sono i limiti che mi sono dato perché quel peso stia in piedi:

• Contatto solo recapiti aziendali che l’attività stessa ha pubblicato per essere contattata. Mai un recapito privato, mai una PEC.
• Ogni messaggio è individuale e scritto sul caso: se le ho scritto, ho guardato il suo sito. Non esiste un invio di massa: le email le approvo una per una a mano, poche al giorno.
• Un solo messaggio, più al massimo un sollecito nella stessa conversazione. Dopo, silenzio.
• L’opposizione è immediata e senza motivazione, e vale per sempre.

Se questo bilanciamento per lei non regge, è esattamente ciò che il diritto di opposizione serve a dire: lo trova al punto 8 e lo rispetto senza discutere.

Non ho un sistema che cancella da solo a mezzanotte: la cancellazione la faccio io. Questi sono i termini che mi sono dato, e se mi chiede di anticiparli lo faccio subito e glielo confermo per iscritto.

• Attività mai contattataAl massimo 12 mesi da quando l’ho trovata, poi cancello
• Attività contattata, nessuna risposta12 mesi dall’invio, poi cancello
• Se mi dice di noCancello nome, indirizzo, telefono, schermate e bozza. Dell’email conservo solo quanto basta a non riscriverle mai più
• Se diventiamo clientiFinché dura il rapporto, più i termini fiscali di legge sui documenti contabili
• I tentativi non validi sul link «non mi scriva più» (data, ora, IP, browser)12 mesi, poi cancello. Servono solo a fermare gli abusi

Una riga merita una spiegazione, perché sembra una contraddizione: se cancellassi tutto dopo un suo «no», fra sei mesi il suo nome ricomparirebbe da Google come se fosse nuovo e le riscriverei. L’unico modo di garantirle che non succeda è tenere quel minimo indispensabile in una lista di esclusione, che serve solo a quello.

La bozza di sito che le ho mostrato è una pagina privata, che si apre solo con il link che ho mandato a lei e che i motori di ricerca non vedono. Se mi dice di no, la spengo.

Non vendo, non cedo e non scambio i suoi dati con nessuno. Nessun altro professionista, nessuna lista, nessun intermediario.

Per far funzionare la cosa uso però dei servizi esterni, che trattano i dati per mio conto e solo per quello:

• Neon — la base datiServer in Europa (Francoforte)
• Vercel — il sito e le pagine di anteprimaAzienda statunitense
• Google — Places, PageSpeed e la casella email da cui le scrivoAzienda statunitense
• Anthropic — il modello che mi aiuta a scrivere la bozza dai contenuti del suo sitoAzienda statunitense

Tre di questi quattro sono aziende statunitensi: i dati possono quindi essere trattati fuori dall’Unione Europea. Lo scrivo così, senza formule rassicuranti, perché è il fatto. Se vuole sapere esattamente quali informazioni della sua attività sono passate da quale servizio, me lo chieda e glielo dico.

Vale la pena dirlo in negativo, perché sono le cose che di solito si danno per scontate:

• Nelle mie email non c’è nessun pixel di tracciamento: non so se le ha aperte, non so se ha cliccato.
• Questa pagina dell’informativa non usa cookie, non ha analytics e non ha pulsanti social.
• Nessuna decisione automatizzata e nessuna profilazione che produca effetti su di lei: chi decide se scriverle e cosa scriverle sono io, ogni volta.
• Nessun acquisto di liste di indirizzi, in nessuna forma.

Sui dati della sua attività lei può chiedermi, in qualunque momento:

• accesso — la copia esatta di tutto quello che ho;
• rettifica — la correzione di ciò che è sbagliato o vecchio;
• cancellazione — che sparisca tutto;
• limitazione — che tenga fermo tutto senza usarlo, mentre chiariamo qualcosa;
• opposizione (art. 21 GDPR) — il diritto di dirmi di smettere. Trattandosi di marketing diretto, qui non c’è niente da valutare da parte mia: se lei si oppone, io smetto. Senza chiederle perché.

Il consenso all’email lo può revocare in qualsiasi momento, e revocarlo deve costarle quanto le è costato darlo (art. 7, par. 3 GDPR). Perciò non le chiedo di scrivermi: in fondo a ogni mia email c’è un link che ferma tutto con un click. Revocare non cancella il passato — le email già partite restano partite — ma da quel momento non ne parte più nessuna.

Se pensa che stia trattando i suoi dati in modo scorretto, può rivolgersi al Garante per la protezione dei dati personali (garanteprivacy.it) o all’autorità giudiziaria. Non deve chiedere il permesso a me, e non ho nulla da obiettare: è un suo diritto.

Se cambio qualcosa, cambio anche la data di aggiornamento qui sotto. Non riscrivo il passato: se una modifica dovesse riguardare dati già raccolti, lo dico a chi ho già contattato.

Versione 2026-11-05 · ultimo aggiornamento: 5 novembre 2026