I Suoi dati, in parole semplici (il GDPR per chi partecipa ai concorsi)

Riceviamo la stessa domanda quasi ogni settimana. Di solito arriva alle 23, da qualcuno che tre giorni prima ha partecipato al concorso fotografico di un marchio polacco e ora si chiede che fine farà il proprio numero di telefono se ci affida una piccola campagna pubblicitaria indirizzata alla pagina della propria candidatura.

Bella domanda. Ecco la risposta onesta.

Questa pagina spiega cosa raccogliamo, cosa ci rifiutiamo di raccogliere, dove risiedono i dati, per quanto tempo li conserviamo e come fa a farli sparire. Niente gergo legale fine a se stesso. Siamo una piccola agenzia di Minsk che lavora con partecipanti ai concorsi con sede nell'UE, quindi il GDPR si applica a noi quando trattiamo i Suoi dati. E ci comportiamo di conseguenza.

La versione breve

Lei ci dà quattro cose: il Suo nome, un'email, un link alla Sua candidatura al concorso e una ricevuta di pagamento. Questo è il minimo indispensabile. A volte qualcosa in più, se ci chiede di scrivere testi che facciano riferimento alla Sua biografia. Mai la password della piattaforma del concorso. Mai un foglio di calcolo con i contatti dei Suoi amici. Conserviamo i dati per 30 giorni dopo la fine della campagna, poi li cancelliamo con un processo programmato che gira ogni domenica alle 03:00 ora di Minsk. Se vuole che spariscano prima, ci scriva un'email e spariranno entro 72 ore.

Questa è tutta la storia. Il resto di questa pagina è il dettaglio noioso che rende affidabile la versione breve.

Cosa raccogliamo davvero da Lei

Quando compila il modulo su /contact.html o ci invia un messaggio su Telegram, finiamo per detenere quanto segue:

• Nome e indirizzo email. Per poterLe rispondere e inviarLe le fatture.
• L'URL della Sua candidatura al concorso. Per sapere dove indirizzare il traffico.
• La pagina pubblica con il regolamento del concorso. La leggiamo. Non gestiamo una campagna per un concorso il cui regolamento vieta la promozione a pagamento e sì, circa 1 brief su 6 che riceviamo si ferma qui.
• Il Suo Paese e la Sua città, di solito dedotti dal Suo fuso orario o chiesti direttamente, perché il targeting pubblicitario ha bisogno di un riferimento geografico.
• La ricevuta di pagamento. Un ID transazione, l'importo, la data, il metodo. Non conserviamo i numeri delle carte: lo fa il nostro processore di pagamento, e noi non vediamo mai il PAN completo.
• A volte: una breve biografia o qualche frase che scrive su di sé, se stiamo redigendo i testi pubblicitari per Lei. È facoltativo e Lei controlla cosa inserirvi.

Tutto qui. La lista è breve di proposito.

Cosa ci rifiutiamo di raccogliere, sempre

Questa è la parte che la maggior parte delle agenzie salta, quindi saremo diretti.

1. Le Sue credenziali di accesso alla piattaforma del concorso. Nome utente, password, codici a due fattori, "solo la password per un minuto" — no. Se qualcuno Le chiede queste cose, non sta gestendo una campagna di marketing, sta gestendo una frode. Abbiamo rifiutato clienti che insistevano per darci le loro credenziali. Con cortesia, ma con fermezza.
2. I dati personali dei Suoi amici o familiari. Niente elenchi di numeri di telefono, niente export di email dai Suoi contatti, niente fogli di calcolo con "ecco tutti quelli che potrebbero votare per me". I pubblici personalizzati creati da liste di contatti che Lei non controlla violano le policy di Meta e costituiscono un problema ai sensi dell'Articolo 6 del GDPR, senza alcuna base giuridica pulita. Non li caricheremo.
3. Documenti che non ha bisogno di condividere. Scansioni del passaporto, carte d'identità, bollette. Non ce ne facciamo nulla. Se un fornitore di servizi di pagamento richiede il KYC, è una questione tra Lei e il fornitore: noi non siamo nella catena.
4. Dati di navigazione di chiunque non sia Lei. Non installiamo pixel su pagine di concorsi che non ci appartengono. Non facciamo scraping di liste di votanti. Non compriamo dati di "interesse per i concorsi" dai broker.

Se il nostro rifiuto di fare una qualunque di queste cose ci fa perdere il Suo lavoro, lo accettiamo serenamente. Legga i nostri limiti nel dettaglio su /services.html.

La base giuridica su cui ci basiamo (Articolo 6, demistificato)

Il GDPR dice che ci serve un motivo legale per trattare i Suoi dati. Ce ne sono sei. Noi ci basiamo su due.

Articolo 6(1)(b) — esecuzione del contratto. Lei ci ha incaricato di gestire una campagna. Per farlo, ovviamente, ci servono la Sua email e l'URL della Sua candidatura. Questa base copre il nucleo operativo dell'incarico.

Articolo 6(1)(f) — legittimo interesse. Per cose come tenere un registro di audit di 30 giorni delle creatività pubblicitarie pubblicate (così possiamo rispondere a eventuali domande se Meta o Google segnalano qualcosa), ci basiamo sul legittimo interesse, bilanciato con i Suoi diritti. Abbiamo documentato questo test di bilanciamento una volta, nel 2024, e lo rileggiamo ogni primavera.

Non usiamo il consenso ai sensi dell'Articolo 6(1)(a) come base principale, perché il consenso secondo il GDPR deve essere prestato liberamente e revocato facilmente, e abbinarlo a un servizio a pagamento confonde questo principio. Il consenso è la base giusta per cose come una newsletter — che noi non gestiamo. Il testo ufficiale si trova su eur-lex.europa.eu/eli/reg/2016/679/oj se vuole leggere da sé l'Articolo 6. È più breve di quanto si pensi.

Dove risiedono i dati

Questo è importante perché al GDPR interessano i trasferimenti internazionali. Ecco la verità:

• Corrispondenza email: su una casella di posta ospitata nell'UE.
• Note di progetto e brief: su disco crittografato su una postazione di lavoro a Minsk, con backup crittografato esterno a Francoforte.
• Fatture: nel nostro software di contabilità, che è ospitato nell'UE.
• Dati delle piattaforme pubblicitarie: ovviamente, sui server di Meta, Google e TikTok. Non controlliamo dove li mettono; Lei ha accettato i loro termini quando ha usato quelle piattaforme. Riduciamo al minimo ciò che inviamo loro.

La Bielorussia non è un Paese "adeguato" ai sensi del GDPR. Lo sappiamo. Per questo usiamo le Clausole Contrattuali Standard con i sub-responsabili con sede nell'UE e documentiamo le nostre attività di trattamento. Se desidera la documentazione, gliela inviamo. Pochi la chiedono, ma l'offerta resta valida.

Conservazione: 30 giorni, poi spariscono

La maggior parte delle agenzie conserva i dati dei clienti per sempre "nel caso tornasse". Noi no. La nostra conservazione predefinita è di 30 giorni dopo la fine di una campagna.

Ecco cosa succede il giorno 31. Un'operazione programmata sul nostro server gira ogni domenica alle 03:00 ora di Minsk. Controlla ogni progetto contrassegnato come "completato" e conta i giorni trascorsi dalla chiusura della campagna. Se il conteggio supera i 30, la cartella del progetto viene spostata in una directory di quarantena. Sette giorni dopo, un altro processo cancella la quarantena. Quindi in pratica i Suoi dati spariscono entro 30-37 giorni, a seconda del giorno della settimana in cui è terminata la Sua campagna.

Eccezioni che conserviamo più a lungo:

• Le fatture. La legge fiscale bielorussa richiede 5 anni. Non siamo avvocati e questo non è un parere legale: è ciò che ci dice il nostro commercialista, e noi lo seguiamo.
• I documenti di rimborso. Stessi 5 anni, stesso motivo. La policy di rimborso vera e propria si trova su /refund.html.
• Qualsiasi cosa Lei ci chieda esplicitamente di conservare, ad esempio perché vuole che gestiamo una seconda campagna il mese successivo. In quel caso Le chiediamo conferma per iscritto e impostiamo un promemoria in calendario per la nuova data di conservazione.

Se ci chiede di cancellare tutto prima — comprese le cose che normalmente conserveremmo per motivi legali — cancelleremo ciò che possiamo legalmente cancellare e Le diremo esattamente cosa non possiamo, e perché. Senza fingere.

Il diritto alla cancellazione, in pratica

L'Articolo 17 del GDPR Le dà il diritto di ottenere la cancellazione dei Suoi dati personali. La maggior parte degli articoli a riguardo lo fa sembrare un calvario burocratico. Con noi non lo è.

Lei invia un'email all'indirizzo che trova su /contact.html con l'oggetto "Richiesta di cancellazione" o l'equivalente nella lingua che preferisce. Le rispondiamo entro un giorno lavorativo. Entro 72 ore dalla conferma della Sua identità (ci basta che ci scriva dall'indirizzo email che abbiamo in archivio, o che confermi un riferimento di pagamento), noi:

1. Cancelliamo la cartella del Suo progetto dallo storage di lavoro.
2. Eliminiamo la voce dal nostro backup crittografato alla successiva rotazione del backup, che avviene ogni notte.
3. Mettiamo immediatamente in pausa qualsiasi campagna pubblicitaria attiva e rimuoviamo l'URL della Sua candidatura dai gruppi di inserzioni entro 24 ore.
4. Diciamo ai nostri sub-responsabili (la casella di posta nell'UE, il software di contabilità) di cancellare ciò che detengono, dove la legge lo consente.
5. Le inviamo una conferma scritta che elenca ciò che è stato cancellato e ciò che abbiamo dovuto conservare, con la base giuridica della conservazione.

Il GDPR consente formalmente fino a 30 giorni, estendibili a 90 nei casi complessi. Non ci servono 30 giorni per il tipo di lavoro che facciamo. Se mai dovesse sentirci dire "ci serve più tempo", è perché ci siamo imbattuti in qualcosa di davvero complicato e glielo spiegheremo.

Un limite onesto. Se i dati della Sua campagna sono già stati acquisiti dai sistemi di Meta o di Google, non possiamo entrare nei loro database ed estrarli. Deve richiedere la cancellazione direttamente a loro. La procedura di Meta si trova su facebook.com/help/contact/540977946302970; quella di Google passa dalle impostazioni sulla privacy del Suo account Google. Possiamo darLe il link diretto pertinente alla Sua situazione, se ce lo chiede. Lo abbiamo fatto per 11 clienti negli ultimi 18 mesi. Funziona.

Cosa abbiamo sbagliato una volta

Sezione onestà. All'inizio del 2024 abbiamo tenuto il brief di un progetto in una bozza di email per sei settimane dopo la fine della campagna — oltre la nostra stessa regola dei 30 giorni — perché stavamo scrivendo una proposta di follow-up e ci siamo dimenticati di cancellare la bozza. Niente è trapelato. Nessuno ha subìto danni. Il cliente se ne è accorto in una conversazione informale, ce l'ha chiesto, lo abbiamo ammesso, abbiamo cancellato la bozza durante la chiamata e abbiamo cambiato il nostro processo affinché le bozze vengano scansionate dallo stesso processo di pulizia domenicale. Lo raccontiamo perché ogni agenzia dichiara un curriculum perfetto e quasi nessuna ne ha uno.

Sub-responsabili, nominati

Siamo tenuti a dirLe chi altro tratta i Suoi dati. L'elenco attuale:

• Il nostro fornitore di posta elettronica nell'UE (lo nomineremo per iscritto su richiesta; non vogliamo che questa pagina diventi un bersaglio per il phishing).
• Il fornitore del nostro software di contabilità, con sede nell'UE.
• Le piattaforme pubblicitarie Meta, Google e TikTok, quando autorizza una campagna con loro.
• Il nostro processore di pagamento, che gestisce la fatturazione e non condivide mai con noi i dati completi delle carte.

Non usiamo un CRM. Non usiamo una suite di automazione del marketing. Non usiamo un fornitore di IA che acquisisce i dati dei clienti per l'addestramento. Se mai dovessimo cambiare questo, aggiorneremo questa pagina e scriveremo prima un'email a ogni cliente attivo.

I Suoi diritti, come checklist

Ai sensi del GDPR Lei ha il diritto di: accedere ai Suoi dati, correggerli, cancellarli, limitarne il trattamento, trasferirli a un altro fornitore e opporsi al trattamento basato sul legittimo interesse. Per tutto tranne la portabilità (non deteniamo dati a sufficienza perché questo sia significativo), una sola email a noi avvia il processo. Rispondiamo in un giorno lavorativo, completiamo in tre.

Se ritiene che stiamo gestendo male i Suoi dati e la nostra risposta non è abbastanza soddisfacente, può presentare reclamo alla Sua autorità nazionale per la protezione dei dati. In Polonia è l'UODO (uodo.gov.pl). Preferiremmo che lo dicesse prima a noi, così possiamo rimediare — ma non La scoraggeremo mai dal rivolgersi al garante.

Cosa non copre questa pagina

Questa è la versione in parole semplici. L'informativa sulla privacy formale, con tutte le intestazioni di sezione che al GDPR piace vedere, si trova su /privacy.html. Se le due dovessero mai entrare in conflitto, prevale la versione formale — ma lavoriamo sodo per mantenerle allineate. Se nota una contraddizione, ci scriva. La correggeremo in giornata.

Per sapere come gestiamo davvero il lavoro una volta risolta la questione dei dati, veda /process.html. Per sapere chi siamo, /about.html. Per i costi, /pricing.html. Per le domande che i clienti pongono prima di firmare, /faq.html.

Un'ultima cosa

Siamo deliberatamente un piccolo team. È un pregio, non una scusa. Significa che meno persone toccano i Suoi dati, che l'inventario dei dati qui sopra è l'inventario reale (non un riassunto edulcorato) e che di solito può identificare per nome la persona che risponde alla Sua richiesta di cancellazione. Se questo suona all'antica, va bene. Suona anche come il tipo di agenzia che vorremmo assumere se i ruoli fossero invertiti.