Privacy

Titolare del trattamento: Gianmaria Palumbo, P.IVA 11703831005. Domicilio: via Flaminia 732/i, 00191 Roma. Contatto: email.

Cosa raccogliamo

Questo sito non usa cookie né strumenti di tracciamento e non carica risorse da terzi. L’unico modulo del sito è quello di richiesta del controllo, descritto qui sotto; gli altri pulsanti aprono il tuo programma di posta. Quando ci scrivi, trattiamo i dati contenuti nell'email (nome, indirizzo, sito, informazioni sul tuo caso) per rispondere e, se lo chiedi, per svolgere il servizio.

Base giuridica e conservazione

Misure precontrattuali e contrattuali (art. 6.1.b GDPR). Le richieste che non portano a nulla vengono cancellate dopo 12 mesi dall’ultimo contatto; email e rapporti di chi diventa cliente restano per 24 mesi dalla fine del rapporto, salvo gli obblighi fiscali sui documenti contabili (10 anni).

Il modulo di richiesta

Quando chiedi la misura del tuo sito, il modulo invia a una nostra funzione ospitata su Vercel l’indirizzo del sito, la tua email e il controllo scelto. La funzione non conserva nulla: inoltra la richiesta alla nostra casella e ti manda una conferma, entrambe tramite Resend su server in Irlanda. La base giuridica è la tua richiesta (art. 6.1.b GDPR). Sito ed email sono necessari: senza, non possiamo rispondere. Dopo la richiesta ricevi l’esito della misura e, se ha senso, la proposta della verifica a prezzo fisso; non ricevi altro, né newsletter né promozioni, a meno che tu non acquisti o non ce lo chieda. Se non sei stato tu a chiederla, ignora la conferma: non faremo altro e non ti scriveremo più.

La verifica istantanea

Quando controlli un dominio dalla pagina di verifica, quel dominio viene inviato a una nostra funzione su Vercel che interroga i record DNS pubblici e ti risponde subito. Non conserviamo né il dominio che scrivi né l’esito, e non ti chiediamo l’email. Il tuo indirizzo IP resta nella memoria della funzione per un minuto, al solo scopo di impedire che qualcuno usi lo strumento a raffica: base giuridica il nostro legittimo interesse a tenere in piedi il servizio (art. 6.1.f GDPR). Puoi opporti scrivendo al contatto qui sopra, ma in pratica non c’è nulla da cancellare, perché dopo un minuto non esiste più.

Controlli su siti pubblici

I controlli analizzano pagine pubbliche e record DNS con strumenti automatici: non raccolgono dati personali dei visitatori del sito analizzato.

Pagamenti

Dal 12 settembre 2026 i controlli si possono acquistare online. Il pagamento avviene su una pagina ospitata da Stripe (checkout.stripe.com), non su questo sito: i dati della carta li tratta direttamente Stripe e noi non li vediamo mai. Da Stripe riceviamo quello che serve a eseguire il servizio e a fatturare: indirizzo email, denominazione e indirizzo di fatturazione, partita IVA o codice fiscale, codice destinatario SDI o PEC, il controllo acquistato, il sito da verificare, l’importo e l’esito del pagamento. La base giuridica è l’esecuzione del contratto (art. 6.1.b GDPR) e, per la fattura, l’obbligo di legge (art. 6.1.c). I dati di fatturazione si conservano dieci anni come impongono le norme fiscali; il resto segue i tempi indicati sopra. Stripe agisce come responsabile del trattamento per l’esecuzione del pagamento, con un accordo ai sensi dell’art. 28 GDPR, e come titolare autonomo per antifrode e obblighi di legge; i trasferimenti verso gli Stati Uniti avvengono su clausole contrattuali standard e Data Privacy Framework.

La firma delle clausole

Prima del pagamento approvi le clausole vessatorie delle condizioni di vendita con un codice che ti mandiamo per email, come richiesto dall’art. 1341 del codice civile. Per inviarti il codice usiamo il tuo indirizzo email tramite Resend, su server in Irlanda. Della firma registriamo email, sito indicato, data e ora, versione delle condizioni, clausole approvate, impronta crittografica del loro testo, indirizzo IP e agente utente del dispositivo: il registro arriva alla nostra casella e, in copia, a te. La base giuridica è l’esecuzione di misure precontrattuali e del contratto (art. 6.1.b GDPR) e il nostro legittimo interesse a poter dimostrare l’approvazione in caso di contestazione (art. 6.1.f). Il registro si conserva dieci anni, il termine di prescrizione ordinaria. Il codice stesso non viene conservato.

Se vi abbiamo scritto noi

Fra il 7 e l’8 settembre 2026 abbiamo inviato 45 email a indirizzi pubblicati sui siti di aziende europee, con la misura del loro sito o dei loro record DNS. L’indirizzo veniva dal sito stesso, nessuna lista è stata acquistata da terzi. Quel canale, verso destinatari nell’Unione europea, è sospeso dall’8 settembre 2026: l’art. 130 del Codice privacy chiede il consenso preventivo per le comunicazioni commerciali via email, e il legittimo interesse non lo sostituisce. Ventitré messaggi già programmati sono stati annullati prima della partenza. Se avete ricevuto una di quelle email potete chiederci la cancellazione del vostro indirizzo scrivendo al contatto qui sopra: la eseguiamo entro 24 ore e conserviamo solo la nota che vi dice esclusi, per non ricontattarvi.

Dall’11 settembre 2026 scriviamo senza un contatto precedente soltanto a società con sede negli Stati Uniti e a società di capitali nel Regno Unito che vendono ai consumatori europei, dove la legge locale consente il contatto commerciale con facoltà di opposizione (CAN-SPAM Act; Privacy and Electronic Communications Regulations 2003, reg. 22 e 23). L’indirizzo è quello che l’azienda pubblica sul proprio sito. Ogni messaggio contiene la misura del sito del destinatario, il nostro nome, il nostro indirizzo postale e un modo semplice per chiedere di non ricevere altro. Base giuridica: art. 6.1.f GDPR, interesse legittimo a proporre un servizio pertinente all’attività del destinatario; questa pagina è l’informazione dovuta dall’art. 14 GDPR. Non più di duecento messaggi al giorno, mai un secondo messaggio allo stesso destinatario senza una sua risposta. Chi chiede di non essere contattato viene escluso entro 24 ore, e comunque entro i dieci giorni lavorativi del CAN-SPAM, e resta in un elenco che contiene solo l’indirizzo e la data, conservato senza scadenza perché cancellarlo farebbe ripartire i contatti. Non scriviamo a ditte individuali, a professionisti o a persone fisiche, e a nessun destinatario nell’Unione europea, senza consenso.

Fornitori

Dominio, DNS e casella di posta: Register.it, in Italia; dall’11 settembre 2026 una copia di ogni email in arrivo a info@ è inoltrata a una casella Gmail del titolare, quindi Google (Stati Uniti) ne riceve il contenuto: è un servizio per consumatori, senza accordo di responsabile del trattamento, e lo dichiariamo per questo. Invio delle email: Resend su Amazon SES, regione Irlanda, senza tracciamento di aperture e clic. Hosting del sito: Vercel, con server negli Stati Uniti e distribuzione in Europa, sulla base di clausole contrattuali standard; come qualunque server, Vercel riceve l’indirizzo IP e la richiesta di pagina di ogni visitatore per poter rispondere, e li conserva nei propri registri tecnici per un periodo limitato; noi non abbiamo strumenti di statistica e non leggiamo quei registri se non per indagare un guasto o un abuso. Pagamenti: Stripe Payments Europe Ltd, Irlanda, con trattamento anche negli Stati Uniti su clausole contrattuali standard e Data Privacy Framework; accordo ai sensi dell’art. 28 GDPR. Fatturazione elettronica: il documento viene trasmesso all’Agenzia delle Entrate attraverso il Sistema di Interscambio, come impone la legge. Assistenza alla scrittura dei testi e allo sviluppo degli strumenti: Anthropic (Claude), Stati Uniti, su un abbonamento per consumatori, quindi senza un accordo di responsabile del trattamento; nel lavoro con l’assistente entrano il dominio da analizzare e le misure tecniche del sito, che sono dati pubblici, e non entrano nominativi, indirizzi email né corrispondenza dei clienti.

Analisi delle vulnerabilità. Quando un committente attiva questo servizio, i dati dell’incarico, cioè i bersagli autorizzati per iscritto, le vulnerabilità rilevate e le relative prove tecniche, sono trattati sulla piattaforma BountyOS, che Gianmaria Palumbo presiede e gestisce. Non sono condivisi con terzi, salvo lo strumento di scansione in licenza e il professionista di sicurezza incaricato dell’analisi, entrambi tenuti alla riservatezza. Sono conservati per la durata dell’incarico e per il tempo richiesto dagli obblighi di legge, e non riguardano i clienti finali del committente oltre il minimo necessario a dimostrare una vulnerabilità.

Intelligenza artificiale

Vendiamo anche la verifica degli obblighi di trasparenza sull’intelligenza artificiale, quindi vale la pena dire come stiamo noi. Questo sito non ha chat, assistenti o sistemi automatici che interagiscono con chi lo visita: l’obbligo di avviso dell’art. 50 par. 1 del regolamento (UE) 2024/1689 non si applica. I testi del sito, delle guide e dello studio sono redatti con l’assistenza di sistemi di IA e pubblicati sotto la responsabilità editoriale del titolare, che li verifica e li firma. I controlli che eseguiamo sui siti dei clienti usano strumenti deterministici, cioè axe-core per l’accessibilità, interrogazioni DNS e lettura delle intestazioni: nessun sistema di IA decide alcunché sul tuo sito, e non prendiamo decisioni automatizzate ai sensi dell’art. 22 GDPR. Il dettaglio completo, attività per attività, è nella pagina Come usiamo l’intelligenza artificiale.

Diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opporti al trattamento scrivendo al contatto indicato: rispondiamo entro un mese. Puoi proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Ultimo aggiornamento: 13/09/2026.