Informativa privacy

Ultimo aggiornamento: 12 novembre 2026.

Questa pagina spiega quali dati personali tratta Espresso Code (questo blog), perché, per quanto tempo e quali sono i tuoi diritti. In breve: niente pubblicità, niente tracciamento tra siti e nessun contenuto caricato da altri siti. Le visite vengono contate su questo stesso server, senza cookie e con l’indirizzo IP accorciato. I dati personali servono solo a far funzionare e proteggere il sito, a capire quali articoli sono utili, a pubblicare i commenti e a rispondere alle tue email.

Chi è il titolare

Il titolare del trattamento è Simone Flavio Paris, persona fisica che scrive questo blog, con sede a Roma.

Per qualsiasi domanda sui tuoi dati: simone@sf-paris.dev.

Non c’è un responsabile della protezione dei dati (DPO): per un blog come questo la legge non lo richiede.

Quali dati, perché e per quanto tempo

Quando visiti una pagina

Come ogni server web, il server che ospita il blog registra ogni richiesta:

• il tuo indirizzo IP;
• data e ora;
• l’indirizzo richiesto, compreso quello che segue il “?” (per esempio un termine di ricerca);
• il codice di risposta e la dimensione della risposta;
• la pagina da cui arrivi (referrer), se il browser la invia;
• la stringa che identifica il tuo browser (user agent).

Vengono registrate anche le richieste di immagini, stili, script e font.

• Perché: per servire le pagine, trovare e correggere gli errori e proteggere il sito da abusi e attacchi.
• Base giuridica: legittimo interesse (art. 6, par. 1, lett. f del GDPR) a mantenere il sito funzionante e sicuro (considerando 49 del GDPR).
• Per quanto: fino a 90 giorni, poi vengono cancellati automaticamente.

Statistiche di visita

Per capire quali articoli e quali formati servono a chi legge, per migliorarli e per trovare i link rotti, il sito conta le visite con Umami, un programma di statistiche open source installato e gestito da me sullo stesso server del blog. Ogni pagina carica da questo sito un piccolo script che, quando apri la pagina o fai una delle azioni elencate sotto, manda una richiesta a questo stesso sito.

Come sono trattati i dati:

• Nessun cookie. Lo script non salva nulla sul tuo dispositivo, tranne la tua scelta se chiedi di non essere misurato (la cookie policy la descrive).
• Indirizzo IP accorciato. Prima che la richiesta arrivi al programma delle statistiche, il server accorcia il tuo indirizzo IP: per gli indirizzi IPv4 l’ultimo numero diventa 0 (per esempio 203.0.113.0), per gli IPv6 restano solo i primi tre gruppi. Il programma vede solo l’indirizzo accorciato, lo usa in memoria per ricavare paese, regione e città e per l’impronta descritta qui sotto, e non lo salva. Il log del server web invece registra anche le richieste delle statistiche con l’indirizzo IP intero, come ogni altra richiesta (vedi “Quando visiti una pagina”).
• Visite dello stesso giorno. Per contare i visitatori diversi, il programma calcola un’impronta (un hash) dal sito, dall’indirizzo IP accorciato, dallo user agent del browser e da un valore segreto che cambia ogni giorno. L’impronta permette di sapere che più pagine sono state viste nella stessa giornata dallo stesso browser; dal giorno dopo la stessa persona non è più collegabile alle visite precedenti, e dall’impronta non si risale all’indirizzo IP.
• Bot. Le visite dei programmi automatici riconosciuti dallo user agent vengono scartate.

Dati salvati per ogni pagina vista:

• l’indirizzo della pagina, senza quello che segue il “?” o il “#” e, per una ricerca, senza il termine cercato;
• il titolo della pagina;
• la pagina da cui arrivi (referrer), se il browser la invia, con gli stessi tagli quando è una pagina di questo sito;
• il tipo di pagina (per esempio home, archivio o pagina) o, per un articolo, il suo formato in base al tempo di lettura (ristretto, espresso, lungo, doppio, moka);
• browser, sistema operativo e tipo di dispositivo, ricavati dallo user agent (che non viene salvato intero);
• dimensione dello schermo e lingua del browser;
• paese, regione e città, ricavati dall’indirizzo IP accorciato;
• data e ora, e l’impronta del giorno.

Il sito conta anche alcune azioni (eventi). Ognuna viene salvata con gli stessi dati di una pagina vista, quelli della pagina in cui avviene (per ricerche ed errori 404 senza il titolo della pagina), più le sole informazioni indicate qui sotto, con i nomi che usano le statistiche. Per “le informazioni della pagina” si intendono il tipo di pagina (tipo), la lingua (lingua) e, per un articolo, formato (formato), minuti di lettura (minuti), categoria (categoria) e mesi passati dalla pubblicazione (mesi).

• letto, un articolo letto: quando arrivi alla fine del testo e la pagina è rimasta visibile almeno 15 secondi, con i secondi in cui è stata visibile (secondi, arrotondati a decine) e le informazioni della pagina; non per gli articoli protetti da password;
• copia-codice, la copia di un blocco di codice, con il linguaggio di programmazione (linguaggio); copia-link, la copia del link alla pagina;
• link-esterno, un clic su un link verso un altro sito: solo il nome del sito di destinazione (host, per esempio github.com), non l’indirizzo completo;
• lingua, il passaggio a un’altra lingua del sito: la lingua di partenza (da) e quella di arrivo (verso);
• commento, l’invio di un commento: solo il fatto che è stato inviato, con le informazioni della pagina, mai il testo, il nome o l’email;
• ricerca, una ricerca nel sito, al posto della vista della pagina dei risultati: la lingua (lingua), il numero di risultati (risultati) e il termine cercato (termine), in minuscolo, solo se è lungo al massimo 60 caratteri e non ha la forma di un’email, di un indirizzo web, di un numero lungo (come un telefono) o di un codice di lettere e cifre (come il codice fiscale o l’IBAN); altrimenti solo il fatto che il termine è stato tolto (escluso). Il filtro non può riconoscere tutto: per esempio il nome di una persona che cerchi viene salvato, quindi non usare la ricerca per dati personali;
• 404, una pagina non trovata, al posto della pagina vista: la lingua (lingua) e l’indirizzo richiesto (path), senza quello che segue il “?”.

A parte il termine di ricerca descritto sopra, le statistiche non raccolgono nome, email, testo dei commenti né altro che scrivi nei moduli, e non le incrocio con i log del server, con i commenti o con altri dati.

• Perché: per capire quali articoli e quali formati sono utili a chi legge, per migliorarli e per trovare link rotti e pagine mancanti.
• Base giuridica: legittimo interesse (art. 6, par. 1, lett. f del GDPR) a sapere come viene letto il blog per migliorarlo. L’ho bilanciato con i tuoi diritti così: dati ridotti al minimo, indirizzo IP accorciato prima che arrivi al programma delle statistiche, che non lo salva, nessun cookie, nessun tracciatore di terze parti (i dati sono raccolti e conservati solo su questo server), un’impronta che cambia ogni giorno, nessuna profilazione e nessun incrocio con altri dati, e la possibilità di non essere misurato con un clic.
• Dove: sullo stesso server del blog, presso OVH nell’Unione europea (Germania). Il programma gira lì: i suoi autori (Umami Software, Inc.) non ricevono alcun dato. La bacheca da cui si consultano le statistiche si raggiunge passando da Cloudflare (vedi “Chi riceve i dati”).
• Chi vede le statistiche: solo io e gli agenti software che autorizzo, da una bacheca che non è pubblica, raggiungibile solo da una rete autorizzata e protetta da un accesso con password (gli agenti usano una chiave personale).
• Per quanto: 25 mesi, poi vengono cancellate automaticamente.
• Come non essere misurato: usa il bottone nella cookie policy, che vale per il browser in cui lo premi. Se il browser invia il segnale Do Not Track o Global Privacy Control, o non permette al sito di salvare dati, il sito non carica nemmeno lo script delle statistiche (e il bottone non compare, perché non serve). Senza JavaScript non viene misurato nulla, e le visite di chi è collegato come autore non vengono mai misurate.
• I tuoi diritti: puoi opporti in qualsiasi momento con il bottone o scrivendomi. Le statistiche non contengono né il tuo indirizzo IP né un identificativo che duri più di un giorno. Finché esistono i log del server (vedi “Quando visiti una pagina”), in teoria una visita si potrebbe ricondurre a un indirizzo IP confrontando data, ora e pagina con quei log: non lo faccio, e quando i log sono cancellati non è più possibile. Quindi non posso trovare, mostrarti o cancellare le visite di una singola persona, e non sono tenuto a conservare o incrociare altri dati solo per identificarti (art. 11 del GDPR); se mi dai informazioni che permettono di trovarle (per esempio l’ora esatta di una visita e la pagina), eserciti i tuoi diritti come per gli altri dati.

Protezione della pagina di accesso

La pagina di accesso serve solo agli autori. I tentativi di accesso oltre una certa frequenza vengono rifiutati, e un indirizzo che sbaglia troppe volte viene bloccato per un’ora.

• Dati: indirizzo IP e le righe di log collegate.
• Base giuridica: legittimo interesse alla sicurezza (art. 6, par. 1, lett. f del GDPR).
• Per quanto: l’elenco degli indirizzi bloccati resta circa cinque settimane; le copie delle righe di log che hanno fatto scattare un blocco restano circa un giorno.

Quando lasci un commento

Il modulo dei commenti chiede nome ed email (obbligatori) e il tuo sito web (facoltativo). WordPress registra anche il tuo indirizzo IP, lo user agent del browser e la data.

• Cosa è pubblico: il nome, il sito web se l’hai indicato, il testo del commento e la sua data. L’email non viene mai pubblicata.
• Perché: per pubblicare il commento che mi chiedi di pubblicare, per moderare la discussione e per combattere spam e abusi.
• Base giuridica: la pubblicazione del commento è il servizio che chiedi (art. 6, par. 1, lett. b del GDPR); la moderazione e la conservazione di IP e user agent si basano sul legittimo interesse a una discussione sicura e senza spam (art. 6, par. 1, lett. f del GDPR).
• Dati obbligatori: senza nome ed email non puoi commentare.
• Per quanto: i commenti pubblicati restano finché l’articolo è online, o finché non chiedi di toglierli. Indirizzo IP e user agent vengono cancellati dal commento dopo 6 mesi (il commento resta). I commenti spostati nel cestino vengono cancellati definitivamente dopo 30 giorni. I commenti segnati come spam non vengono pubblicati e vengono cancellati definitivamente dopo 30 giorni.
• Moderazione: il tuo primo commento aspetta l’approvazione; dopo, i commenti con lo stesso nome e la stessa email di solito vengono pubblicati subito. I commenti li approvo, li rimetto in attesa, li segno come spam o li cancello io.
• Blocco: chi ignora ripetutamente le regole dei commenti può essere bloccato: in quel caso il suo indirizzo email o il suo indirizzo IP finiscono in un elenco di blocco, che respinge i suoi commenti. L’elenco resta finché serve a tenere lontani gli abusi e lo rivedo almeno ogni 12 mesi, togliendo le voci che non servono più.
• Email: il sito non invia email, quindi non riceverai notifiche sul tuo commento.

Se spunti la casella che chiede di salvare nome, email e sito web in questo browser per il prossimo commento, WordPress salva questi dati in cookie sul tuo dispositivo. La cookie policy li descrive.

Quando mi scrivi

Se mi mandi un’email ricevo il tuo indirizzo, il tuo nome se lo indichi e quello che scrivi.

• Perché: per risponderti.
• Base giuridica: la tua richiesta (art. 6, par. 1, lett. b del GDPR) o il mio legittimo interesse a risponderti (art. 6, par. 1, lett. f del GDPR).
• Per quanto: per il tempo necessario a gestire la tua richiesta e a poter dimostrare di averla gestita, poi le cancello.

Account degli autori

La registrazione non è aperta al pubblico. Gli account esistono solo per me e per le persone che invito. Per ogni account WordPress conserva il nome utente, l’email, un hash della password, le impostazioni dell’autenticazione a due fattori e, per ogni sessione attiva, indirizzo IP, user agent e ora di accesso.

• Perché: per far accedere gli autori in modo sicuro.
• Base giuridica: legittimo interesse a gestire e proteggere il sito (art. 6, par. 1, lett. f del GDPR).
• Per quanto: finché l’account esiste; le sessioni finiscono all’uscita o alla scadenza.

Preferenze salvate sul tuo dispositivo

Il tema può ricordare la palette, il tono chiaro o scuro e il modo di lettura che scegli, ma solo nel tuo browser: queste scelte non arrivano mai al server. Allo stesso modo il browser ricorda se hai chiesto di non essere misurato dalle statistiche. La cookie policy elenca tutto ciò che il sito salva sul tuo dispositivo o legge da lì.

Copie di sicurezza

Non faccio backup automatici. Prima di un aggiornamento del sito faccio una copia di sicurezza temporanea delle parti che cambiano, che può contenere i dati descritti sopra, per poter tornare indietro se qualcosa va storto. Queste copie restano sullo stesso server e vengono cancellate entro 30 giorni.

Chi riceve i dati

• OVHcloud SAS (Francia) ospita il server nel suo data center di Francoforte, in Germania. Agisce come responsabile del trattamento, in base all’accordo sul trattamento dei dati che fa parte delle sue condizioni di servizio.
• Apple ospita la posta del dominio sf-paris.dev (iCloud+), quindi tratta, come responsabile del trattamento, le email che mi mandi. Apple può trattarle anche negli Stati Uniti: il trasferimento si basa sul Data Privacy Framework UE-USA, a cui Apple aderisce, e sulle clausole contrattuali standard della Commissione europea.
• Cloudflare gestisce il DNS del dominio: per il blog risponde solo alla domanda “qual è il server di blog.sf-paris.dev?”, e le tue visite al blog non passano da Cloudflare. Solo la bacheca delle statistiche (stats.sf-paris.dev), usata da me e dagli agenti che autorizzo, si raggiunge attraverso la rete di Cloudflare, che decifra e inoltra quelle connessioni: Cloudflare, Inc. (Stati Uniti) tratta quindi, come responsabile del trattamento, le pagine delle statistiche che consultiamo (indirizzi delle pagine, termini cercati, referrer, paesi e città, mai gli indirizzi IP di chi legge) e i nostri accessi. Il trasferimento negli Stati Uniti si basa sul Data Privacy Framework UE-USA, a cui Cloudflare aderisce, e sull’accordo sul trattamento dei dati di Cloudflare, che fa parte delle sue condizioni di servizio.
• I lettori del blog vedono le parti pubbliche del tuo commento.
• Gli agenti software che autorizzo possono leggere le statistiche di visita, che non contengono indirizzi IP.
• Statistiche di visita: raccolte e conservate solo su questo server; gli autori del programma (Umami) non ricevono dati. La loro consultazione passa da Cloudflare, come detto sopra.
• Avatar: il sito, bacheca compresa, non carica Gravatar né altri servizi di avatar.
• Le autorità, solo quando lo impone la legge.

I tuoi dati non vengono mai venduti, ceduti o usati per pubblicità.

Trasferimenti fuori dall’Unione europea

Il server è nell’Unione europea. Un trasferimento fuori dall’UE può avvenire solo tramite i servizi elencati sopra che hanno sede negli Stati Uniti (Cloudflare per la bacheca delle statistiche, Apple per la posta); quando avviene, si basa sul Data Privacy Framework UE-USA o sulle clausole contrattuali standard della Commissione europea.

I tuoi diritti

Puoi chiedermi, in qualsiasi momento e gratis:

• di accedere ai tuoi dati e averne una copia;
• di correggerli;
• di cancellarli (per esempio un tuo commento);
• di limitarne l’uso;
• di ricevere i dati che mi hai dato in un formato comune e leggibile da una macchina.

Diritto di opposizione. Quando tratto i tuoi dati in base al legittimo interesse, puoi opporti in qualsiasi momento, per motivi legati alla tua situazione particolare. In quel caso smetto, a meno che non abbia motivi legittimi cogenti o che i dati mi servano per accertare, esercitare o difendere un diritto in sede giudiziaria.

Scrivi a simone@sf-paris.dev. Rispondo entro un mese. Posso chiederti informazioni per verificare che i dati siano tuoi (per esempio di scrivere dall’indirizzo usato nel commento).

Per le statistiche di visita, come opporti e cosa è possibile chiedere è spiegato nella loro sezione.

Hai anche il diritto di presentare un reclamo al Garante per la protezione dei dati personali o all’autorità del paese dell’UE in cui vivi o lavori.

Decisioni automatizzate

Nessuna decisione con effetti giuridici o altrettanto significativi su di te viene presa in modo automatizzato, e non c’è profilazione.

Modifiche

Se questa informativa cambia, la nuova versione viene pubblicata in questa pagina con una nuova data. La pagina è disponibile anche in inglese. Se le due versioni non coincidono, prevale quella italiana.