Privacy Policy

Questa pagina dice che cosa succede ai dati di chi passa da Blu Basilico: che cosa raccolgo, perché, per quanto tempo lo tengo, chi altro lo vede e che cosa puoi chiedermi. È scritta per essere letta, non per essere archiviata: se qualcosa non è chiaro, scrivimi e la riscrivo meglio.

C’è una sezione per ogni cosa che si può fare qui dentro. Leggi quella che ti riguarda.

Chi tratta i tuoi dati

Il titolare del trattamento è Blu Basilico, info@blubasilico.com.

Blu Basilico è il nome del sito e del canale YouTube: dietro c’è una persona sola, che cucina, filma, monta e risponde alla posta. Non c’è un responsabile della protezione dei dati (DPO) e non serve: non è un trattamento su larga scala né di dati particolari.

Per qualunque cosa riguardi questa pagina — chiedere una copia dei tuoi dati, farli correggere, farli cancellare, o solo capire — l’indirizzo è info@blubasilico.com. Rispondo io.

1. Se leggi e basta

Aprire una pagina di questo sito non richiede il tuo consenso e non lascia niente sul tuo dispositivo, finché non tocchi il banner dei cookie.

Che cosa succede comunque: il server registra, come fa qualunque server web, la richiesta che

il tuo browser gli manda: indirizzo IP, data e ora, pagina richiesta, tipo di browser. Sono i log tecnici del fornitore di hosting. Non li leggo, non li incrocio con altro, non li uso per capire chi sei; servono a far funzionare il sito e a ricostruire un guasto o un attacco.

Base giuridica: il mio legittimo interesse a tenere in piedi un sito che funziona e che non

viene bucato (art. 6, par. 1, lett. f del GDPR).

Per quanto: i log li conserva il fornitore di hosting secondo le sue regole, di norma pochi

giorni o settimane.

Cookie: quando scegli sul banner — “Accetta” o “Rifiuta” — il sito scrive sette cookie tecnici

che ricordano la tua scelta per 180 giorni. Senza, il banner ti ricomparirebbe a ogni pagina. L’elenco completo, uno per uno, è nella Politica dei cookie.

Statistiche: non ce ne sono. Nessun Google Analytics, nessun Matomo, nessun contatore. Non so

quante persone leggono questo sito, e per ora va bene così.

2. Se guardi un video

I video stanno su YouTube, che è di Google. Sul sito vedi l’anteprima e un pulsante: finché non premi play, il tuo browser non contatta Google in nessun modo. L’immagine di anteprima non arriva da YouTube, è ospitata qui.

Quando premi play:

se non hai accettato i cookie di terze parti, compare un avviso che te lo dice, con il pulsante

per accettare e il link per guardare il video direttamente su YouTube;

se hai accettato, si carica il player di YouTube in modalità `youtube-nocookie`, e da quel momento

Google vede il tuo indirizzo IP, il tuo browser, e scrive cookie e memoria locale sul tuo dispositivo. Se hai un account Google, la visione può essere collegata a quell’account.

Base giuridica: il tuo consenso, che dai sul banner o sull’avviso del video, e che puoi ritirare quando vuoi da “Gestisci il consenso” in fondo alla pagina. Trasferimento fuori dall’Unione: Google LLC ha sede negli Stati Uniti e aderisce all’EU-U.S. Data Privacy Framework, la decisione di adeguatezza della Commissione europea del 10 luglio 2023. Informativa di Google: https://policies.google.com/privacy

3. Se mi scrivi dal modulo di contatto

Che cosa raccolgo: nome, indirizzo e-mail, oggetto e testo del messaggio. Più l’indirizzo IP,

per il tempo del controllo antispam.

Perché: per risponderti. Nient’altro. Il tuo indirizzo non finisce in nessuna newsletter e non

lo do a nessuno.

Base giuridica: non è il consenso — è il riscontro a una richiesta che hai fatto tu

(art. 6, par. 1, lett. b del GDPR). Per questo sotto il modulo non c’è una casella da spuntare: chiedere un consenso che non serve farebbe credere che si possa revocare la risposta.

Per quanto: 12 mesi, poi il messaggio si cancella da solo. Se dalla conversazione nasce

qualcosa che va tenuto — una ricetta pubblicata, un accordo — quello segue le regole della sua sezione.

Antispam: il modulo è protetto da Cloudflare Turnstile, che vede il tuo indirizzo IP e

alcuni segnali del browser per capire se sei una persona. Non vede il contenuto del messaggio, e non parte all’apertura della pagina ma al primo tocco dentro il modulo. Base giuridica: il mio legittimo interesse a non affogare nello spam, e la sicurezza del servizio che hai chiesto. Cloudflare, Inc. ha sede negli Stati Uniti e aderisce al Data Privacy Framework. Informativa: https://www.cloudflare.com/privacypolicy/

Chi altro lo vede: il fornitore di hosting e di posta (Aruba S.p.A., Italia), perché il

messaggio passa dai suoi server.

Che cosa raccolgo: l’indirizzo e-mail, il testo esatto del consenso che hai spuntato con la

sua versione, la data e l’ora, l’indirizzo IP e il browser da cui è partita l’iscrizione, e poi data, ora e IP del momento in cui hai confermato.

Come funziona: sei iscritto solo dopo aver aperto il link che ti arriva per e-mail. Prima

di quel clic non ti mando niente, e se in sette giorni non clicchi cancello anche la richiesta. Serve a due cose: essere sicuro che l’indirizzo sia tuo, e impedire che qualcun altro ti iscriva.

Perché tengo IP e data: per poter dimostrare, se serve, che quel consenso c’è stato e che è

tuo. Sono gli unici dati in più che raccolgo, e non li uso per altro.

Base giuridica: il tuo consenso (art. 6, par. 1, lett. a del GDPR), che puoi ritirare in

qualsiasi momento con il link di disiscrizione che sta in fondo a ogni e-mail. È un clic solo: nessuna schermata di conferma, nessun motivo da spiegare.

Per quanto: finché resti iscritto. Dopo la disiscrizione tengo la riga per 12 mesi — serve a

non riscriverti per sbaglio — poi sparisce.

Chi altro lo vede: nessuno. Gli indirizzi stanno nel database di questo sito e le e-mail

partono dalla casella del fornitore di posta. Non uso Mailchimp né altri servizi esterni.

5. Se lasci un commento

Oggi i commenti sono chiusi su tutti gli articoli. Se un giorno li riapro, vale questo.

Che cosa raccolgo: nome, indirizzo e-mail, eventuale sito, testo del commento, indirizzo IP e

browser.

Che cosa si vede: il commento e il nome che hai scritto. L’indirizzo e-mail no.
L’indirizzo IP lo conservo 30 giorni per il controllo antispam, poi viene cancellato dal

commento.

La spunta “salva i miei dati” è vuota e resta vuota se non la tocchi: se la spunti, il tuo

browser ricorda nome ed e-mail per il commento successivo. È una tua comodità, non una mia.

Base giuridica: il tuo consenso per la pubblicazione del commento; il legittimo interesse alla

sicurezza per l’IP e l’antispam.

Per quanto: il commento resta finché resta l’articolo, o finché mi chiedi di toglierlo.

6. Se mandi una ricetta, o se il tuo locale partecipa

Questa è la parte più corposa, perché è quella in cui mi mandi davvero qualcosa di tuo: un video, delle foto, il tuo nome. Sta qui sotto, nella sezione “Invio di contenuti”, e va letta insieme alle Regole e liberatoria e alle Regole e accordo per i locali, che sono i testi che si accettano nel modulo.

In due righe, per non farti scorrere: prendo i dati del modulo e i file che mandi, li uso per valutare, montare e pubblicare la ricetta con il tuo nome, e conservo la prova di che cosa hai accettato. Quello che non pubblico lo cancello entro 90 giorni.

Invio di contenuti (ricette dei lettori e locali che partecipano)

Questa sezione riguarda chi manda una ricetta con il modulo "Manda la tua ricetta" e i locali che partecipano con il modulo "Partecipa". Integra le regole che si accettano nel modulo: le Regole e liberatoria per l'invio di contenuti e le Regole e accordo per i locali che partecipano.

Titolare

Mirco Sabatino, info@blubasilico.com.

Quali dati trattiamo e perché

Dati del modulo (nome, città, e-mail, profilo social; per i locali anche nome del locale, indirizzo, telefono, nome e ruolo del referente) e i contenuti inviati (video, foto, ricetta, storia): per ricevere e valutare l'invio, contattarti, montare e pubblicare la ricetta con il credito. Base giuridica: l'accordo che si forma con l'invio (art. 6, par. 1, lett. b del GDPR).
Immagine e voce di chi compare nel video: per pubblicarle sul sito, su YouTube e sui social. Base giuridica: l'accordo e il consenso alla pubblicazione del ritratto previsto dagli articoli 96 e 97 della legge 633/1941, che chi invia dichiara di aver raccolto anche dalle altre persone riprese.
Prova dell'accettazione (versione e copia del testo accettato, testo di ogni spunta, data e ora, indirizzo IP, browser): per dimostrare cosa è stato accettato e difenderci in caso di contestazioni. Base giuridica: il nostro legittimo interesse (art. 6, par. 1, lett. f del GDPR) a documentare l'accordo, valutato tenendo conto che i dati sono pochi, attesi da chi compila il modulo e non usati per altro.
Indirizzo IP e protezione anti-spam: per limitare gli invii automatici. Base giuridica: legittimo interesse alla sicurezza del sito.

Il conferimento dei dati contrassegnati come obbligatori nel modulo è necessario per gestire l'invio: senza, l'invio non parte.

Minori

Il modulo può essere compilato solo da chi ha almeno 18 anni. Se nel video compare un minore riconoscibile, chi invia dichiara di avere il consenso scritto di entrambi i genitori o di chi esercita la responsabilità genitoriale. Se uno dei genitori ci chiede di togliere il contenuto, lo togliamo.

A chi comunichiamo i dati

Google LLC (YouTube per la pubblicazione dei video, Google Drive per la conservazione dei file). Google LLC ha sede negli Stati Uniti: il trasferimento avviene sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023 (EU-US Data Privacy Framework), a cui Google aderisce. Per i contenuti pubblicati su YouTube, Google tratta i dati come titolare autonomo secondo la propria informativa.
Il fornitore di hosting (Aruba S.p.A., Italia), che conserva il sito e i file inviati.
Il fornitore del servizio e-mail usato per le conferme.

Non vendiamo i dati e non li comunichiamo ad altri.

Per quanto tempo

File inviati e non pubblicati: cancellati entro 90 giorni dall'invio.
Dati e contenuti pubblicati: finché il contenuto resta online.
Prova dell'accettazione: 10 anni dalla rimozione del contenuto o dalla chiusura dell'invio, che è il termine ordinario di prescrizione (art. 2946 del codice civile).

I tuoi diritti

Puoi chiedere l'accesso ai dati, la rettifica, la cancellazione, la limitazione del trattamento, l'opposizione e la portabilità scrivendo a info@blubasilico.com. Puoi revocare in ogni momento il consenso alla pubblicazione della tua immagine e della tua voce: la revoca vale per il futuro e non tocca ciò che è stato fatto prima. Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

7. Se ho scritto io al tuo locale

Cerco ristoranti, trattorie e osterie a cui proporre di raccontare un piatto in video. Se ti è arrivata una mia e-mail senza che tu mi avessi mai scritto, la spiegazione è questa.

Che cosa ho, e da dove viene: il nome del locale, l’indirizzo, il tipo di attività, il

punteggio pubblico e il numero di recensioni (dalla scheda pubblica di Google), il sito, il recapito e-mail pubblicato sul vostro sito e — solo se lo pubblicate voi — il nome e il ruolo di chi lo gestisce. Non ho mai comprato liste, non uso banche dati commerciali, non cerco recapiti personali. Tutto viene dal vostro sito e dalla vostra scheda pubblica.

Perché: per mandarvi una proposta di collaborazione, una volta, con al massimo un promemoria.

Nient’altro.

Base giuridica: il mio legittimo interesse a proporre una collaborazione a un’attività

commerciale (art. 6, par. 1, lett. f del GDPR). Ho valutato che i dati sono pochi, pubblici, riferiti a un’attività e non alla vita privata di nessuno, e che il messaggio è pertinente a quello che l’attività fa. Se non siete d’accordo, potete oppormi la vostra opposizione in qualunque momento e vince la vostra (art. 21 GDPR).

Come vi dico tutto questo: l’informativa è linkata dentro l’e-mail stessa, perché i dati

non me li avete dati voi e devo dirvelo al primo contatto (art. 14, par. 3, lett. b del GDPR).

Come vi togliete di mezzo: in fondo a ogni e-mail c’è un link “non scrivetemi più”. Un clic e

non ricevete altro.

Per quanto: se non rispondete, dopo 12 mesi cancello i dati delle persone — nome e ruolo

del referente, e-mail, telefono — e resta solo la scheda del locale, che è un’attività e non una persona.

La lista di chi ha detto no non si cancella. Se avete cliccato “non scrivetemi più”, il vostro

indirizzo resta in un elenco che consulto prima di ogni invio. È l’unica cosa che tengo per sempre, e la tengo proprio per rispettare la vostra richiesta: cancellarla vorrebbe dire riscrivervi al giro successivo (art. 17, par. 3, e considerando 47 del GDPR).

Il modello linguistico: per capire che locale siete e scrivervi un messaggio che non sembri

un volantino, mando il testo pubblico del vostro sito a un modello linguistico (OpenRouter). Prima di mandarlo tolgo indirizzi e-mail e numeri di telefono, e gli indirizzi che il sistema ha trovato viaggiano come lettere, non come indirizzi. Quello che può arrivargli di personale è il nome e il ruolo che voi pubblicate sul vostro sito. OpenRouter, Inc. ha sede negli Stati Uniti: il dettaglio, con i dubbi che restano, è in fondo a questa pagina.

8. A chi comunico i dati

Non vendo niente a nessuno e non faccio scambi di indirizzi. I dati li vedono solo i fornitori che mi servono per far funzionare il sito, e ognuno solo la parte che gli serve:

Aruba S.p.A. (Italia): hosting del sito e casella di posta. Vede tutto quello che passa dai

suoi server. Data center in Italia.

Google (Google Ireland Limited e Google LLC): YouTube per i video, Google Drive per

conservare i file che mi mandate, Google Places per i dati pubblici dei locali, Search Console per le statistiche di ricerca.

Cloudflare, Inc.: l’antispam dei moduli.
OpenRouter, Inc. e i modelli linguistici che instrada: i testi da correggere e il testo

pubblico dei siti dei locali.

fal.ai: le immagini generate per le schede degli ingredienti. Non riceve nessun dato

personale.

WeTransfer B.V. (Paesi Bassi): solo se scegli tu di mandarmi i file per quella strada. In

quel caso il rapporto è fra te e loro; io ricevo un link.

L’elenco completo, con sede, ruolo e condizioni di ognuno, è in `docs/gdpr/fornitori.md` e te lo mando volentieri se lo chiedi.

9. Trasferimenti fuori dall’Unione europea

Alcuni di questi fornitori hanno sede negli Stati Uniti. Quando i dati escono dall’Europa, escono così:

Google e Cloudflare: aderiscono all’EU-U.S. Data Privacy Framework, cioè la decisione

di adeguatezza della Commissione europea del 10 luglio 2023. È la base più solida che ci sia oggi per gli Stati Uniti.

OpenRouter e fal.ai: non risultano fra i partecipanti al Data Privacy Framework. A fal.ai

non arriva nessun dato personale. A OpenRouter arrivano, dell’outreach, il nome e il ruolo che il locale pubblica di sé: pochissimo, ma non zero. Sto valutando con un legale se questo richieda clausole contrattuali standard o il passaggio a un fornitore europeo. Se preferisci che i dati del tuo locale non passino di lì, scrivimi e li tolgo dall’analisi.

Aruba e WeTransfer sono società europee.

10. I tuoi diritti

Puoi chiedermi, quando vuoi e senza motivare:

di sapere quali dati ho su di te e di averne una copia (artt. 15 e 20 GDPR);
di correggerli se sono sbagliati (art. 16);
di cancellarli (art. 17);
di limitarne l’uso mentre discutiamo di qualcosa (art. 18);
di oppormi al trattamento quando lo faccio per legittimo interesse — l’outreach ai locali, per

esempio (art. 21);

di ritirare un consenso che hai dato: quello dei cookie, quello della newsletter. Ritirarlo

non rende illegittimo quello che è successo prima, ma da lì in poi si smette.

Come si fa: scrivi a info@blubasilico.com. Non serve un modulo, non serve un formato: basta una riga. Ti rispondo entro un mese, di solito molto prima. Se la richiesta è complicata e mi serve più tempo, te lo dico entro il mese e ti spiego perché.

Ho una funzione apposta nel pannello del sito che cerca un indirizzo e-mail in tutti i posti in cui può stare — invii, iscrizioni, commenti, locali, messaggi — e li esporta o li cancella in un colpo solo: è per questo che di solito rispondo in giornata.

Le due cose che non posso cancellare, e il motivo:

la riga nella lista di chi ha chiesto di non essere più contattato: se la cancello, ti

riscrivo al giro dopo;

la prova di che cosa hai accettato, se mi hai mandato una ricetta o firmato l’accordo di un

locale: serve a me e a te a sapere che cosa ci siamo detti, e resta per il tempo scritto nella sezione 6.

11. Se pensi che stia sbagliando

Prima prova a scrivermi: quasi sempre è un malinteso o una cosa che si sistema in due messaggi.

Se non ti basta, hai il diritto di rivolgerti al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, oppure all’autorità del Paese in cui vivi o lavori (art. 77 GDPR). Puoi anche rivolgerti al giudice.

12. Modifiche

Se cambia qualcosa — un fornitore nuovo, un trattamento nuovo — aggiorno questa pagina e cambio la data qui sotto. Se il cambiamento tocca un consenso che hai dato, te lo richiedo: non do per scontato che un consenso vecchio copra una cosa nuova.