Informativa sul trattamento dei dati personali

Ultimo aggiornamento: 1 novembre 2026

Questa informativa spiega quali dati personali tratta il sito www.danielemarcolli.it, per quali finalità, su quale base giuridica, per quanto tempo e quali sono i tuoi diritti, ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018).

Riguarda chi visita il sito e chi scrive tramite il modulo di contatto. Non riguarda le visite e le prestazioni sanitarie, per le quali le informazioni sul trattamento dei dati sono fornite dal titolare direttamente ai pazienti.

1. Titolare del trattamento

Dr. Daniele Marcolli, medico chirurgo, specialista in Ortopedia e Traumatologia – P.IVA 03686330121
Indirizzo: Via Bellavista 6, 21100 Varese (VA)
Email per le richieste sulla privacy: dott.danielemarcolli@gmail.com

Il titolare non ha designato un responsabile della protezione dei dati (RPD/DPO).

2. Quali dati trattiamo

2.1 Dati che invii con il modulo di contatto

• nome e cognome, indirizzo email, numero di telefono;
• il testo del messaggio.

Tutti i campi sono necessari per inviare la richiesta: senza di essi non possiamo risponderti. In alternativa puoi contattare lo studio per telefono.

Non inviare referti, documenti clinici o dati sanitari dettagliati. Scrivi solo quanto serve a capire la richiesta (ad esempio prenotare una visita, sedi e orari): i dettagli clinici vengono raccolti durante la visita. Le informazioni sulla salute che scegli comunque di scrivere sono «dati relativi alla salute» (art. 9 GDPR) e sono trattate con le garanzie descritte in questa informativa.

Se scrivi per conto di un'altra persona (ad esempio un familiare), indica solo i dati indispensabili e falle conoscere questa informativa. Per i minori vedi la sezione 10.

2.2 Dati di navigazione

Il server che ospita il sito registra automaticamente nei propri log alcuni dati tecnici di ogni richiesta: indirizzo IP, data e ora, pagina richiesta, esito, tipo di browser e sistema operativo, pagina di provenienza. Servono a far funzionare il sito, a proteggerlo e a individuare errori; non li usiamo per identificarti o profilarti.

2.3 Protezione del modulo dagli invii automatici

Per bloccare lo spam il sito accetta al massimo 5 invii in 10 minuti dallo stesso indirizzo IP e 40 invii in un'ora in totale. Per applicare questo limite registra, per al massimo un'ora, l'orario dell'invio e un'impronta crittografica dell'indirizzo IP (HMAC-SHA256 calcolato con una chiave casuale conservata sul server). L'indirizzo IP non viene salvato in chiaro e l'impronta non viene usata per altri scopi. I log tecnici del modulo non contengono indirizzi email.

3. Finalità e basi giuridiche

• Rispondere alle richieste ordinarie di informazioni o di appuntamento (sedi, orari, prenotazione di una visita): esecuzione di misure precontrattuali adottate su tua richiesta (art. 6, par. 1, lett. b GDPR).
• Usare le informazioni sulla salute eventualmente contenute nel messaggio, solo se e nella misura strettamente necessaria a organizzare la visita o a indirizzarti correttamente: finalità di diagnosi e cura, sotto la responsabilità di un medico soggetto al segreto professionale (art. 9, par. 2, lett. h e par. 3 GDPR; artt. 2-septies e 75 del Codice). Come chiarito dal Garante per la protezione dei dati personali nel provvedimento n. 55 del 7 marzo 2019, per i trattamenti essenziali alla cura il professionista sanitario non deve chiedere il consenso; le informazioni sanitarie non necessarie a questo scopo non vengono utilizzate, ed è per questo che ti chiediamo di non inviarle.
• Proteggere il sito e il modulo da abusi, spam e attacchi, e conservare i log tecnici e le copie di sicurezza: legittimo interesse del titolare alla sicurezza e alla continuità del servizio (art. 6, par. 1, lett. f GDPR).
• Adempiere obblighi di legge e, se necessario, accertare, esercitare o difendere un diritto in sede giudiziaria: art. 6, par. 1, lett. c e f GDPR; per i dati relativi alla salute art. 9, par. 2, lett. f GDPR.

La casella «Ho letto l'informativa» del modulo serve a confermare che hai preso visione di questa informativa. Per le finalità sopra indicate il trattamento non si basa sul consenso.

Non prendiamo decisioni basate unicamente su trattamenti automatizzati e non facciamo profilazione. I dati non sono usati per pubblicità, newsletter o statistiche.

4. Come viene gestita una richiesta inviata dal modulo

1. Il messaggio viaggia cifrato (HTTPS) dal tuo browser al server del sito, che si trova nell'Unione europea (data center di Amsterdam, Paesi Bassi).
2. Il server ne salva una copia nel database del sito, che si trova sullo stesso server. Se l'invio via email non riesce subito, il sito ritenta automaticamente l'inoltro al medico; i controlli automatici che segnalano le richieste non inoltrate riportano solo numeri e conteggi, mai il contenuto o i recapiti.
3. Il server invia la richiesta via email (SMTP), dalla casella tecnica del sito sito@danielemarcolli.it, alla casella di posta Gmail del Dr. Marcolli (account Google personale, vedi sezione 7). La posta in uscita del fornitore di hosting passa dal servizio di inoltro (relay) MailChannels, che non conserva copie dei messaggi consegnati. Il messaggio indica il tuo indirizzo come destinatario della risposta («rispondi a»), così il medico può risponderti direttamente.
4. Se la consegna non riesce, l'avviso di mancata consegna, che di norma contiene il messaggio originale, torna nella casella tecnica sito@danielemarcolli.it.
5. Subito dopo, il sito invia al tuo indirizzo un'email automatica di conferma con le indicazioni dello studio; non contiene il testo della tua richiesta. Se rispondi a questa email, la risposta arriva alla casella Gmail del Dr. Marcolli.

La consegna delle email non può essere garantita in modo assoluto: per questo il sito conserva una copia della richiesta e ritenta l'inoltro. Se non ricevi risposta entro qualche giorno, contatta lo studio per telefono.

Le richieste sono trattate dal Dr. Daniele Marcolli e dal personale dello studio autorizzato, nei limiti delle rispettive mansioni e nel rispetto degli obblighi di riservatezza applicabili. Per informazioni puoi scrivere al titolare all'indirizzo dott.danielemarcolli@gmail.com.

5. Per quanto tempo conserviamo i dati

• Copia della richiesta nel database del sito: 24 mesi dalla ricezione; poi viene cancellata da una procedura automatica che gira ogni giorno. Le richieste ricevute prima del 1° novembre 2026, per le quali il sito non ha registrato la data di arrivo, sono cancellate entro il 1° novembre 2028.
• Email ricevute nella casella Gmail del Dr. Marcolli: la casella è gestita in autonomia dal titolare, che stabilisce e applica tempi e criteri di conservazione in funzione delle finalità e degli obblighi previsti dalla normativa. Le procedure automatiche del sito non intervengono su questa casella. Se la richiesta porta a una visita, le informazioni utili confluiscono nella documentazione clinica e ne seguono i tempi di conservazione.
• Messaggi nella casella tecnica del sito (avvisi di mancata consegna e risposte automatiche): sono verificati per recuperare eventuali richieste non consegnate e cancellati automaticamente dopo 24 mesi.
• Impronta dell'IP per il limite di invii: al massimo 1 ora.
• Log del server (dati di navigazione e della posta): per il periodo stabilito dal fornitore di hosting secondo le proprie procedure; il fornitore non indica pubblicamente questa durata.
• Log di consegna del servizio di inoltro della posta (MailChannels): 35 giorni, secondo quanto dichiarato dal fornitore.
• Copie di sicurezza (backup) del fornitore di hosting: il fornitore esegue copie automatiche del server secondo il ciclo previsto dal proprio servizio, senza garanzia di completezza (servizio «best effort»); servono solo a ripristinare il sito in caso di guasto. Un dato cancellato dal sito può quindi restare in queste copie finché non vengono sovrascritte secondo quel ciclo; non è possibile cancellarlo selettivamente dalle copie.

I dati possono essere conservati più a lungo solo se necessario per adempiere un obbligo di legge o per accertare, esercitare o difendere un diritto.

6. Sicurezza

Il sito usa misure tecniche e organizzative adeguate al rischio: connessione cifrata (HTTPS con HSTS), credenziali di database e di posta conservate in file riservati non accessibili dal web, area di amministrazione protetta da password, accesso tecnico al server limitato ai soggetti indicati nella sezione 7, protezione del modulo dagli invii automatici, log tecnici senza indirizzi email, cancellazione automatica delle copie nel database. I dati relativi alla salute non sono mai diffusi.

7. A chi possono essere comunicati i dati

I dati non sono venduti né diffusi. Possono venirne a conoscenza, solo per le finalità indicate e nei limiti delle rispettive attività:

• il consulente informatico che cura lo sviluppo e la manutenzione tecnica del sito (LD Studios), che accede ai dati solo quando è necessario per un intervento tecnico;
• l'intestatario dell'account di hosting, che ha accesso tecnico all'infrastruttura del server;
• A2 Hosting, LLC (marchio «hosting.com», informativa privacy del fornitore), 1201 North Market Street, Suite 111-N73, Wilmington, Delaware 19801, USA, con rappresentante nell'Unione europea Hosting Holding Germany BidCo GmbH, Kennedy-Ufer 11, 50679 Colonia (Germania): fornitore del servizio di hosting utilizzato tramite l'account dell'intestatario (server del sito ad Amsterdam, database, casella tecnica di posta, log e copie di sicurezza), che tratta i dati ospitati secondo i propri termini di servizio e la propria informativa;
• MailChannels, servizio di inoltro della posta in uscita utilizzato dal fornitore di hosting, che tratta i messaggi solo durante l\'inoltro e ne conserva i log di consegna (sezione 5);
• Google Ireland Limited, che fornisce il servizio Gmail con cui il Dr. Marcolli riceve le richieste tramite un account Google personale. Per i servizi Google personali Google tratta i dati secondo i propri Termini di servizio e la propria Informativa sulla privacy, nella quale indica Google Ireland Limited come titolare del trattamento per gli utenti residenti nello Spazio economico europeo. Il titolare non ha stipulato con Google un accordo per il trattamento dei dati per proprio conto;
• autorità pubbliche, quando la legge lo prevede.

Il consulente informatico e l'intestatario dell'account di hosting trattano i dati solo per conto del titolare e secondo le sue istruzioni, sulla base di accordi scritti ai sensi dell'art. 28 GDPR. L'elenco aggiornato dei soggetti che trattano i dati per conto del titolare è disponibile su richiesta ai recapiti della sezione 1.

8. Servizi esterni caricati durante la navigazione

Font, icone, fogli di stile e script del sito sono serviti dal sito stesso. L'unica risorsa caricata automaticamente da un server di terzi è la mappa delle sedi nella sezione dei contatti: le immagini della mappa («tile») sono scaricate da tile.openstreetmap.org, gestito dalla OpenStreetMap Foundation (Regno Unito, Paese per il quale la Commissione europea ha adottato una decisione di adeguatezza), che le distribuisce tramite una rete di server di cache. Per scaricarle il tuo browser comunica a quei server il tuo indirizzo IP, i dati tecnici della richiesta e la pagina di provenienza; i dati del modulo non vengono mai trasmessi. La OpenStreetMap Foundation tratta questi dati come titolare autonomo secondo la propria informativa. Base giuridica per il sito: legittimo interesse a mostrare dove si trovano le sedi (art. 6, par. 1, lett. f GDPR).

I collegamenti a Google Maps (indicazioni stradali) e ai siti delle strutture, delle società scientifiche e delle convenzioni si aprono solo se li clicchi: da quel momento si applica l'informativa del sito di destinazione.

9. Trasferimenti di dati fuori dall'Unione europea

I dati del sito e del modulo sono conservati sul server di Amsterdam, nell'Unione europea. Alcuni fornitori hanno sede o personale fuori dall'Unione europea:

• il fornitore di hosting è una società statunitense che aderisce all'EU-U.S. Data Privacy Framework, per il quale la Commissione europea ha adottato una decisione di adeguatezza (art. 45 GDPR); la sua informativa cita anche le clausole contrattuali tipo della Commissione. I dati del sito restano sul server di Amsterdam; il fornitore non indica pubblicamente da quali Paesi il proprio personale può accedervi per assistenza o manutenzione né dove si trovano tutte le copie di sicurezza: le informazioni disponibili possono essere chieste al titolare;
• MailChannels dichiara di poter trasferire i dati tra i propri data center e di usare le clausole contrattuali tipo della Commissione europea (art. 46 GDPR);
• per la casella Gmail del medico, Google indica nella propria informativa che le informazioni possono essere elaborate su server situati fuori dal Paese in cui si vive e che rispetta alcuni quadri giuridici relativi al trasferimento dei dati.

Puoi chiedere al titolare informazioni sulle garanzie adottate e una copia delle stesse.

10. Minori

Il modulo è destinato a persone maggiorenni. Se la richiesta riguarda un minore, deve inviarla un genitore o chi esercita la responsabilità genitoriale o è comunque legittimato a farlo.

11. Cookie e altri strumenti di memorizzazione

Il sito pubblico non usa cookie né altri strumenti che memorizzano o leggono informazioni sul tuo dispositivo (come localStorage o sessionStorage), e non usa strumenti di statistica, profilazione, pubblicità o pulsanti dei social network. Per questo non trovi un banner sui cookie.

L'area riservata all'amministrazione del sito (/interfaccia), accessibile solo all'amministratore con credenziali, è protetta dall'autenticazione del server e usa un cookie tecnico di sessione (dm_interfaccia, cancellato alla chiusura del browser), indispensabile per la sicurezza delle operazioni. I visitatori del sito non lo ricevono.

12. I tuoi diritti

Puoi esercitare in qualsiasi momento, scrivendo al titolare ai recapiti della sezione 1, i diritti previsti dagli articoli 15–22 GDPR:

• accesso ai tuoi dati e copia (art. 15);
• rettifica dei dati inesatti o incompleti (art. 16);
• cancellazione (art. 17), salvo che i dati debbano essere conservati per un obbligo di legge o per difendere un diritto;
• limitazione del trattamento (art. 18);
• portabilità dei dati che hai fornito, nei casi previsti (art. 20);
• opposizione ai trattamenti basati sul legittimo interesse, per motivi connessi alla tua situazione particolare (art. 21);
• non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati (art. 22): il sito non ne prende.

Il titolare comunica le rettifiche, cancellazioni e limitazioni ai destinatari a cui i dati sono stati trasmessi, salvo che ciò sia impossibile o richieda uno sforzo sproporzionato (art. 19). Rispondiamo senza ingiustificato ritardo e comunque entro un mese, prorogabile di due mesi nei casi complessi (art. 12, par. 3); potremmo chiederti informazioni per verificare la tua identità.

Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR) o all'autorità di controllo del Paese in cui vivi o lavori, oppure di rivolgerti all'autorità giudiziaria.

13. Modifiche a questa informativa

L'informativa può essere aggiornata, ad esempio se cambiano i servizi usati dal sito o la normativa. La versione in vigore è sempre quella pubblicata in questa pagina, con la data dell'ultimo aggiornamento indicata in alto.