Che cosa sappiamo di voi, e per quanto tempo

1. Il modulo del preventivo

Cosa raccogliamo. Le cinque risposte (tipo di struttura, numero di camere o unità, com’è il sito adesso, cosa vi servirebbe, per quando), il nome della struttura e un recapito a vostra scelta, email o telefono. Se siete arrivati da un link nostro, il link porta con sé un identificativo di provenienza: serve a sapere a quale delle email che abbiamo mandato risponde la vostra richiesta, e senza quello risultereste arrivati da internet e basta.

Perché. Rispondervi e preparare il preventivo. Nient’altro: non entrate in nessuna lista di invii e non vi mandiamo pubblicità.

Base giuridica. Misure precontrattuali prese su vostra richiesta (art. 6.1.b GDPR). Il recapito è l’unico campo davvero obbligatorio: senza, la richiesta non serve a niente e il modulo la rifiuta.

Dove finiscono. In un file sul nostro server, uno per richiesta. Non passano da moduli di terzi, da un CRM esterno o da servizi che stanno fuori dall’Unione europea.

Quanto restano. Ventiquattro mesi dall’ultimo contatto, se non se ne fa nulla. Se invece diventa un lavoro, i documenti contabili restano per i dieci anni che ci impone la legge fiscale: quelli non possiamo cancellarli nemmeno volendo, e ve lo diciamo adesso invece di scoprirlo insieme dopo.

2. Il modulo per non essere più ricontattati

Qui c’è una cosa che sembra un controsenso, e preferiamo spiegarla noi: per smettere di scrivervi dobbiamo tenere da parte il vostro riferimento. Se lo cancellassimo del tutto, al giro dopo lo strumento che cerca le strutture vi ripescherebbe dalle stesse fonti pubbliche e vi riscriveremmo, che è il modo più rapido di trasformare un no in una segnalazione.

Cosa conserviamo. Il riferimento che scrivete voi (il dominio o l’indirizzo email) e la data della richiesta. Nient’altro: non teniamo il motivo, non teniamo commenti.

Perché. Dare seguito alla vostra opposizione, che è un obbligo nostro: conservare il minimo indispensabile per rispettarla fa parte dell’eseguirla.

Quanto resta. A tempo indeterminato. È l’unico dato che teniamo senza scadenza, e serve solo a quello: a non scrivervi. Chiederne la cancellazione si può, ma vuol dire togliere l’unica cosa che vi protegge da una nostra seconda email, e ve lo diciamo prima di farlo.

3. L’email commerciale che vi abbiamo mandato noi

Da dove vengono i dati. Da fonti pubbliche, e sono tre: OpenStreetMap, la mappa aperta da cui prendiamo nome, indirizzo e recapiti della struttura; il sito della struttura stessa; gli annunci pubblicati. Non li abbiamo comprati da nessuno, non li abbiamo presi da elenchi venduti e non li cediamo a nessuno.

Quali dati. Nome della struttura, indirizzo, recapiti già pubblicati e indirizzo del sito, più il risultato del controllo tecnico che facciamo su quel sito. Sono in gran parte dati di un’azienda; quando comprendono anche il nome di una persona, per esempio il titolare, valgono per intero le regole di questa pagina.

Il controllo del sito. È passivo: leggiamo quello che il vostro server pubblica da sé a chiunque apra la pagina, cioè gli header della risposta, il certificato, i record DNS pubblici e il codice della home. Nessun tentativo di accesso, nessuna prova di password. Non è un test di intrusione e non ve lo presentiamo come tale.

Base giuridica. Legittimo interesse (art. 6.1.f GDPR): farci conoscere da chi può avere bisogno di quello che facciamo. Abbiamo pesato il nostro interesse contro il vostro a non essere disturbati, e la proposta commerciale è fra aziende, mandata una volta sola, a un indirizzo che avete pubblicato voi, con dentro un documento sul vostro sito e non un catalogo.

Il vostro diritto di dire no. Potete opporvi quando volete e senza spiegare perché. Bastano un campo e un pulsante nella pagina Come vi abbiamo trovato: non dovete rispondere alla nostra email, non dovete chiamare nessuno.

Quanto restano. Fino alla vostra opposizione, e comunque non oltre ventiquattro mesi dall’ultimo contatto se non ci rispondete. Dopo l’opposizione resta il solo riferimento del punto 2, che serve a non riscrivervi.

4. I registri tecnici del server

Cosa contengono. Ogni volta che un browser chiede una pagina, il server scrive una riga: indirizzo IP, data e ora, pagina richiesta ed esito. È il funzionamento normale di un server web, non uno strumento che abbiamo aggiunto per osservarvi.

Perché. Sicurezza e diagnostica: accorgerci di un abuso, capire perché una pagina ha risposto con un errore. Da qui ricaviamo anche le statistiche aggregate, che non sono legate a una persona.

Base giuridica. Legittimo interesse a tenere il servizio in piedi e sicuro (art. 6.1.f GDPR).

Quanto restano. Pochi giorni, e comunque non oltre trenta: poi vengono sovrascritti.