INFORMATIVA SULLA PRIVACY

Newsletter dello Psicologo Davide Mazzotta

Informativa sul trattamento dei dati personali ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR)

Versione: 1.0

Data di ultimo aggiornamento: [29/03/2026]

Data di prima pubblicazione: [29/03/2026]

Nota sulla pubblicazione: La presente Informativa sulla Privacy è resa disponibile a tutti gli iscritti e potenziali iscritti alla newsletter tramite apposito link presente sul sito internet del Titolare (www.davidemazzotta.it), nel modulo di iscrizione Brevo e in ogni comunicazione e-mail inviata dal Titolare.

Indice

• 1. Titolare del trattamento
• 2. Referente privacy
• 3. Ambito di applicazione e destinatari
• 4. Definizioni
• 5. Categorie di dati personali trattati
• 6. Natura obbligatoria o facoltativa del conferimento dei dati
• 7. Finalità del trattamento
• 8. Base giuridica del trattamento
• 9. Modalità del trattamento
• 10. Responsabili del trattamento e sub-processori
• 11. Trasferimenti internazionali di dati
• 12. Periodo di conservazione dei dati (Retention Schedule)
• 13. Tracciamento e analytics nelle e-mail
• 14. Profilazione e decisioni automatizzate
• 15. Misure di sicurezza tecniche e organizzative
• 16. Procedura in caso di violazione dei dati (Data Breach)
• 17. Diritti dell’interessato e modalità di esercizio
• 18. Modalità di revoca del consenso e disiscrizione
• 19. Minori
• 20. Conseguenze del mancato conferimento dei dati
• 21. Link e rimandi a piattaforme di terze parti
• 22. Nota sui dati di categoria particolare (salute mentale)
• 23. Disclaimer – La newsletter non sostituisce il supporto psicologico
• 24. Clausole specifiche per webinar e registrazioni
• 25. Marketing e comunicazioni commerciali (opt-in / opt-out)
• 26. Comunicazioni relative a servizi professionali sanitari
• 27. Clausole contrattuali e link ai DPA / TOU
• 28. Politica di conservazione dei backup e cancellazione definitiva
• 29. Registro delle attività di trattamento
• 30. Registro delle modifiche / Cronologia versioni
• 31. Contatti e reclami
• 32. Legge applicabile e foro competente
• Appendice A – Modello testuale del consenso (Form di iscrizione)
• Appendice B – Tabella di conservazione dei dati (Retention Schedule)
• Appendice C – Elenco dei responsabili e sub-processori
• Appendice D – Politica di registrazione webinar
• Appendice E – Riepilogo delle misure di sicurezza
• Appendice F – Link alle policy di terze parti

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

Dott. Davide Mazzotta

Psicologo

Iscritto all’Ordine delle Psicologhe e degli Psicologi della Regione Puglia – Albo n. 8546

Posta Elettronica Certificata (PEC): davide.mazzotta@psypec.it

E-mail: newsletter@davidemazzotta.it

Sito web: www.davidemazzotta.it

Il Titolare opera in qualità di libero professionista e non in qualità di società o ente giuridico. Ogni riferimento al Titolare nel presente documento si intende fatto alla persona fisica sopra identificata.

2. Referente privacy

Alla data di pubblicazione della presente Informativa, il Titolare non ha provveduto alla nomina di un Responsabile della Protezione dei Dati (DPO) ai sensi dell’art. 37 del GDPR, non essendo obbligato in tal senso. Per qualsiasi richiesta relativa al trattamento dei dati personali e all’esercizio dei diritti di cui alla presente Informativa, l’interessato può rivolgersi direttamente al Titolare al seguente indirizzo e-mail dedicato:

E-mail privacy: newsletter@davidemazzotta.it

Qualora in futuro venga nominato un DPO, i relativi recapiti saranno comunicati mediante aggiornamento della presente Informativa.

3. Ambito di applicazione e destinatari

La presente Informativa si applica al trattamento dei dati personali effettuato in relazione ai seguenti servizi offerti dal Titolare:

• Iscrizione alla newsletter tramite il modulo di iscrizione Brevo condiviso su piattaforme social (Instagram, TikTok, ecc.) e sul sito internet del Titolare;
• Invio della newsletter psicoeducativa settimanale a tema salute mentale universitaria;
• Invio di materiali e risorse gratuite scaricabili (e-book, PDF, guide, flashcards, calendari, punchcards, checkbox per lo studio e simili) tramite link a Google Drive o altri servizi di hosting;
• Organizzazione e partecipazione a webinar gratuiti e a pagamento tramite piattaforme come Zoom;
• Invio di comunicazioni professionali e promozionali relative ai servizi e prodotti del Titolare (apertura studio, disponibilità di posti per percorsi di supporto psicologico, corsi, libri, eventi, webinar a pagamento e simili);
• Analisi statistiche aggregate delle performance delle e-mail inviate.

Destinatari: La newsletter è rivolta principalmente a studenti universitari residenti in Italia o in altri Paesi dell’Unione Europea (UE) e dello Spazio Economico Europeo (SEE). Tuttavia, le comunicazioni professionali e promozionali (Utilizzo 3) possono rivolgersi anche ad altri destinatari interessati ai temi della salute mentale e del benessere psicologico.

Ambito territoriale: Il trattamento è effettuato nel territorio dell’Unione Europea. L’Informativa è redatta in conformità al Regolamento (UE) 2016/679 (GDPR) e alla normativa italiana in materia di protezione dei dati personali (D.lgs. 196/2003 e s.m.i., “Codice Privacy”).

Informativa in forma sintetica nel modulo di iscrizione

Al momento dell’iscrizione tramite il modulo gestito da Brevo, l’interessato visualizza una informativa privacy in forma sintetica (“Informativa Privacy in sintesi – Art. 13 GDPR”) che riassume gli elementi essenziali del trattamento (titolare, dati trattati, finalità, basi giuridiche, tempi di conservazione e diritti). Tale informativa breve contiene un link diretto alla presente Informativa completa, che rappresenta il riferimento principale e sempre aggiornato sulle modalità di trattamento dei dati personali nell’ambito della newsletter.

4. Definizioni

• “Dati personali” (o “Dati”): qualsiasi informazione riguardante una persona fisica identificata o identificabile (“Interessato”); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale (art. 4, par. 1, n. 1 GDPR).
• “Interessato”: la persona fisica a cui si riferiscono i dati personali. Nel contesto della presente Informativa, si tratta dell’iscritto o del potenziale iscritto alla newsletter.
• “Trattamento”: qualsiasi operazione o insieme di operazioni, compiute con o senza l’ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione (art. 4, par. 1, n. 2 GDPR).
• “Titolare del trattamento” (o “Titolare”): la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali. Nel contesto della presente Informativa, il Titolare è il Dott. Davide Mazzotta.
• “Responsabile del trattamento” (o “Responsabile”): la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del Titolare del trattamento (art. 4, par. 1, n. 8 GDPR).
• “Sub-processore”: qualsiasi responsabile del trattamento incaricato da un altro responsabile del trattamento per svolgere attività di trattamento specifiche per conto del Titolare.
• “Consenso”: qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile dell’interessato, con la quale lo stesso manifesta il proprio assenso, mediante dichiarazione o azione positiva inequivocabile, al trattamento dei dati personali che lo riguardano.
• “Dati di categoria particolare” (o “Dati sensibili”): dati personali che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché dati genetici, dati biometrici, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona (art. 9 GDPR).
• “Cookie”: piccole porzioni di dati conservate all’interno del browser dell’utente.
• “Pixel di tracciamento” (o “Web beacon”): una piccola immagine trasparente integrata nel corpo di un’e-mail che consente di rilevare se e quando l’e-mail è stata aperta.
• “GDPR”: Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.
• “Garante Privacy”: l’Autorità Garante per la protezione dei dati personali italiana (www.garanteprivacy.it).
• “DPA” (Data Processing Agreement): l’accordo sul trattamento dei dati personali stipulato tra il Titolare e un Responsabile del trattamento ai sensi dell’art. 28 GDPR.

5. Categorie di dati personali trattati

Il Titolare tratta le seguenti categorie di dati personali in relazione al servizio di newsletter:

a) Dati identificativi e di contatto forniti dall’interessato:

• Indirizzo e-mail (obbligatorio per l’iscrizione).

b) Dati tecnici di interazione con le e-mail (raccolti in forma aggregata e anonima):

• Tasso di apertura delle e-mail (open rate);
• Tasso di clic sui link contenuti nelle e-mail (click-through rate);
• Data e ora di invio delle e-mail.

Precisazione importante: I dati tecnici di interazione di cui al punto b) sono raccolti in forma aggregata e anonima tramite la funzionalità “Anonymous Email Tracking” di Brevo per le sole campagne di newsletter e comunicazioni promozionali. Tali dati NON vengono utilizzati per profilare i singoli utenti né per inviare comunicazioni personalizzate basate sul comportamento individuale dell’iscritto. L’anonimizzazione non si applica invece alle e-mail transazionali di sistema (es. conferma di iscrizione e double opt-in), i cui log di clic vengono conservati in modo individuale al solo fine di provare in modo documentato il rilascio del consenso.

c) Eventuali dati aggiuntivi forniti volontariamente:

L’interessato potrebbe fornire volontariamente ulteriori dati personali (ad esempio, rispondendo a domande poste nella newsletter, partecipando a sondaggi o Q&A, oppure inviando comunicazioni spontanee all’indirizzo e-mail del Titolare). Tali dati saranno trattati esclusivamente per le finalità per le quali sono stati comunicati.

Tali comunicazioni possono occasionalmente contenere informazioni particolarmente sensibili (ad esempio dettagli su situazioni di disagio psicologico o riferimenti a condizioni di salute). In questi casi, il Titolare tratterà tali contenuti con la massima riservatezza e li utilizzerà esclusivamente per rispondere alla richiesta dell’interessato o per fornire indicazioni generali di orientamento (ad esempio suggerendo di rivolgersi a servizi di supporto adeguati). Tali dati non saranno utilizzati per finalità di marketing, non saranno inseriti nelle liste di distribuzione per comunicazioni commerciali senza un ulteriore consenso specifico e saranno conservati solo per il tempo strettamente necessario a gestire lo scambio di comunicazioni o per adempiere ad eventuali obblighi di legge.

d) Nota sui dati di categoria particolare (art. 9 GDPR):

Si precisa che l’iscrizione a una newsletter tematica incentrata sulla salute mentale può costituire, in via indiretta, un dato di categoria particolare ai sensi dell’art. 9 del GDPR, in quanto potenzialmente idoneo a rivelare informazioni sullo stato di salute psicologica dell’interessato. Il Titolare è consapevole di questa circostanza e adotta tutte le misure tecniche e organizzative adeguate per garantire un livello di protezione rafforzato di tali dati. Il trattamento avviene esclusivamente sulla base del consenso esplicito dell’interessato, manifestato al momento dell’iscrizione alla newsletter (art. 9, par. 2, lett. a) GDPR).

6. Natura obbligatoria o facoltativa del conferimento dei dati

Dato obbligatorio: Il conferimento dell’indirizzo e-mail è obbligatorio ai fini dell’iscrizione alla newsletter. Il mancato conferimento dell’indirizzo e-mail rende impossibile l’iscrizione e, di conseguenza, la fornitura del servizio di newsletter psicoeducativa e delle risorse gratuite correlate.

Consenso obbligatorio (Casella n. 1): La selezione della casella n. 1 (“Newsletter Psicoeducativa Universitaria e Risorse Gratuite”) è obbligatoria per l’iscrizione alla newsletter. Senza tale selezione, non è possibile completare l’iscrizione.

Consenso facoltativo (Casella n. 2): La selezione della casella n. 2 (“Comunicazioni Professionali e Promozionali”) è facoltativa. Il mancato rilascio di tale consenso non pregiudica in alcun modo l’iscrizione alla newsletter psicoeducativa di cui alla casella n. 1, ma comporta l’impossibilità per il Titolare di inviare comunicazioni relative ai propri servizi e prodotti a pagamento (apertura studio, corsi, libri, eventi, webinar premium, ecc.).

Casella n. 3 (Dichiarazione): La selezione della casella n. 3 costituisce una dichiarazione obbligatoria con cui l’interessato conferma di aver letto l’Informativa sulla Privacy, di avere almeno 14 anni e di essere consapevole che i propri dati saranno trattati tramite la piattaforma Brevo secondo le garanzie indicate nella presente Informativa.

7. Finalità del trattamento

I dati personali dell’interessato sono trattati per le seguenti finalità, distinte e separate:

Finalità A – Newsletter psicoeducativa e risorse gratuite

Invio della newsletter settimanale contenente contenuti psicoeducativi su tematiche universitarie e di salute mentale, riflessioni psicologiche, consigli pratici per la vita universitaria, spunti di crescita personale, tecniche di gestione dello stress e dell’ansia, esercizi di autocompassione, mindfulness e autogentilezza, e ogni altro contenuto divulgativo a carattere psicologico correlato al mondo universitario. Tale invio include link ai contenuti social e web del Titolare (pagina Instagram, canale YouTube, sito internet, TikTok e simili); tali comunicazioni non hanno carattere promozionale di servizi a pagamento. La frequenza di invio è principalmente settimanale, con possibili comunicazioni extra per risorse scaricabili bonus, webinar gratuiti con data imminente o contenuti urgenti psicoeducativi.

Finalità B – Invio di materiali e risorse gratuite scaricabili

Condivisione, tendenzialmente a cadenza mensile, di materiali scaricabili gratuitamente creati dal Titolare (e-book, PDF, guide, flashcards psicoeducative, punchcards, calendari per lo studio, checkbox per lo studio e simili), resi disponibili tramite link a Google Drive o servizi analoghi inseriti direttamente nel corpo delle e-mail della newsletter. Eventuali riferimenti, all’interno di tali materiali, a servizi o iniziative a pagamento del Titolare hanno carattere meramente informativo e non danno luogo all’invio di comunicazioni promozionali autonome, che restano invece riservate agli iscritti che hanno prestato lo specifico consenso di cui alla Casella n. 2 (Finalità D).

Finalità C – Organizzazione e partecipazione a webinar gratuiti

Invio di comunicazioni relative a webinar gratuiti organizzati e condotti dal Titolare (eventualmente con colleghi), a tema universitario e di salute mentale, erogati tramite la piattaforma Zoom o piattaforme analoghe. L’e-mail conterrà il link per la partecipazione gratuita, la data e la tematica del webinar. Qualora, in occasione dei webinar gratuiti, vengano menzionati servizi o prodotti a pagamento del Titolare, tali riferimenti hanno carattere informativo e non comportano l’invio di comunicazioni promozionali ulteriori rispetto a quelle espressamente accettate tramite la Casella n. 2 (Finalità D).

Finalità D – Comunicazioni professionali e promozionali (solo con consenso separato – Casella n. 2)

Invio, tendenzialmente a cadenza mensile o situazionale, di comunicazioni professionali e promozionali relative ai servizi e prodotti del Titolare, inclusi a titolo esemplificativo e non esaustivo:

• Annuncio dell’apertura dello studio privato di psicologia;
• Comunicazione della disponibilità di posti per percorsi di supporto psicologico a pagamento;
• Promozione di consulenze psicologiche individuali;
• Annuncio dell’apertura del canale YouTube del Titolare;
• Promozione di corsi a pagamento (es. corsi mindfulness, corsi online e in presenza) con link diretto all’acquisto;
• Promozione di webinar a pagamento con link diretto all’acquisto;
• Promozione di prodotti editoriali (libri) con link diretto all’acquisto;
• Annuncio e promozione di eventi in presenza o online (librerie, università, teatri, piazze, ecc.), sia gratuiti che a pagamento;
• Promozione di prodotti acquistabili online o in presenza in linea con la salute mentale, con link diretto all’acquisto.

Tali comunicazioni possono rivolgersi a un target più ampio rispetto ai soli studenti universitari (es. corsi di mindfulness aperti a tutti), ma il focus tematico rimane la salute mentale e il benessere psicologico.

Finalità E – Analisi statistiche aggregate

Misurazione in forma aggregata e anonima delle performance delle e-mail inviate (es. percentuale complessiva di apertura, percentuale complessiva di clic) al solo fine di valutare l’efficacia delle campagne e migliorare la qualità dei contenuti. Tali analisi non consentono l’identificazione dei singoli destinatari. Tali trattamenti si basano sull’interesse legittimo del Titolare a migliorare la qualità del servizio e dei contenuti offerti, nel rispetto degli artt. 6, par. 1, lett. f) e 21 del GDPR e delle ragionevoli aspettative degli iscritti.

8. Base giuridica del trattamento

Le basi giuridiche del trattamento dei dati personali per ciascuna finalità sono le seguenti:

Finalità	Base giuridica
A – Newsletter psicoeducativa	Art. 6, par. 1, lett. a) e Art. 9, par. 2, lett. a) del GDPR – Consenso esplicito dell’interessato manifestato attraverso l’azione positiva di iscrizione al modulo e conferma tramite double opt-in. Tale base giuridica è ritenuta la più idonea a garantire la trasparenza e la protezione dei dati sensibili indirettamente trattati.
B – Materiali e risorse gratuite	Art. 6, par. 1, lett. a) e Art. 9, par. 2, lett. a) del GDPR – Consenso esplicito dell’interessato manifestato attraverso l’azione positiva di iscrizione al modulo e conferma tramite double opt-in. Tale base giuridica è ritenuta la più idonea a garantire la trasparenza e la protezione dei dati sensibili indirettamente trattati.
C – Webinar gratuiti	Art. 6, par. 1, lett. a) e Art. 9, par. 2, lett. a) del GDPR – Consenso esplicito dell’interessato manifestato attraverso l’azione positiva di iscrizione al modulo e conferma tramite double opt-in. Tale base giuridica è ritenuta la più idonea a garantire la trasparenza e la protezione dei dati sensibili indirettamente trattati.
D – Comunicazioni promozionali	Art. 6, par. 1, lett. a) GDPR – Consenso esplicito e separato dell’interessato (Casella n. 2). Il consenso è liberamente revocabile in qualsiasi momento.
E – Analisi statistiche aggregate	Art. 6, par. 1, lett. f) GDPR – Legittimo interesse del Titolare a migliorare la qualità del servizio e dei contenuti della newsletter. Le analisi sono effettuate inizialmente su dati tecnici necessari al funzionamento del servizio e successivamente su dati aggregati e anonimi che non consentono l’identificazione dei singoli interessati.

9. Modalità del trattamento

Il trattamento dei dati personali è effettuato con strumenti elettronici e digitali, con modalità organizzative e logiche strettamente correlate alle finalità indicate nella presente Informativa. In particolare:

• I dati sono raccolti tramite il modulo di iscrizione online gestito dalla piattaforma Brevo (https://www.brevo.com);
• I dati sono conservati e trattati sui server di Brevo e dei relativi sub-processori;
• Le e-mail della newsletter sono inviate tramite la piattaforma Brevo, utilizzando l’indirizzo e-mail del Titolare collegato al dominio registrato presso Aruba S.p.A.;
• Le risorse gratuite scaricabili (PDF, e-book, guide, ecc.) sono messe a disposizione tramite link a Google Drive o servizi analoghi;
• I webinar gratuiti e a pagamento sono erogati tramite la piattaforma Zoom o piattaforme analoghe;
• Le comunicazioni contengono frequentemente link a piattaforme esterne come Instagram, YouTube, TikTok, il sito internet del Titolare e altre piattaforme simili.

Meccanismo di iscrizione e prova del consenso

L’iscrizione alla newsletter avviene mediante un meccanismo di conferma (double opt-in) fornito da Brevo: dopo l’inserimento dell’indirizzo e-mail e la selezione delle caselle di consenso, l’interessato riceve una e-mail transazionale di conferma con un link da cliccare per completare l’iscrizione. Per garantire la corretta storicizzazione di tale evento e adempiere all’obbligo di dimostrare inequivocabilmente il rilascio del consenso (Art. 7, par. 1 del GDPR), il tracciamento dei clic su queste specifiche e-mail di sistema viene mantenuto in chiaro e non soggetto ad anonimizzazione. Il Titolare e/o Brevo conservano le evidenze tecniche necessarie a dimostrare la validità del consenso. Tali evidenze sono costituite dai log transazionali (indirizzo e-mail, data e ora della sottoscrizione e del clic di conferma, indirizzo IP usato al momento dell’iscrizione e versione dell’informativa privacy) e dalle preferenze di opt-in selezionate (Casella n. 1 e/o Casella n. 2), queste ultime registrate come attributi associati all’anagrafica del contatto nel database tramite automatismi di piattaforma. In conformità alle limitazioni tecniche della piattaforma, l’indirizzo IP è accessibile esclusivamente tramite l’interfaccia di Brevo per un periodo di 24 mesi; decorso tale termine, la prova della genuinità del consenso per i restanti 3 anni di conservazione sarà garantita dalla persistenza dei metadati tecnici univoci estratti (email, timestamp e Message ID) congiuntamente agli attributi di scelta salvati nel profilo dell’interessato.

Origine degli indirizzi e-mail e pratiche antispam

Il Titolare utilizza esclusivamente indirizzi e-mail raccolti direttamente tramite il proprio modulo di iscrizione gestito da Brevo o altri canali sotto il proprio controllo (ad esempio form presenti sul sito ufficiale). Il Titolare non acquista, non affitta e non utilizza liste di contatti provenienti da terzi per l’invio della newsletter o di comunicazioni promozionali, nel rispetto delle normative in materia di protezione dei dati personali e delle linee guida sul contrasto allo spam. Le comunicazioni sono inviate solo a soggetti che hanno espresso un consenso valido e documentato o che rientrano nelle ipotesi di contatto lecito previste dalla legge.

Il Titolare adotta le opportune misure di sicurezza volte ad impedire l’accesso, la divulgazione, la modifica o la distruzione non autorizzata dei dati personali. Il trattamento è effettuato esclusivamente da soggetti debitamente autorizzati dal Titolare e da fornitori esterni che agiscono in qualità di responsabili del trattamento ai sensi dell’art. 28 GDPR. I dati non saranno diffusi né ceduti a terzi per finalità di marketing autonomo senza ulteriore consenso espresso dell’interessato.

10. Responsabili del trattamento e sub-processori

Per l’erogazione del servizio di newsletter e dei servizi correlati, il Titolare si avvale dei seguenti fornitori esterni che agiscono in qualità di responsabili del trattamento ai sensi dell’art. 28 GDPR:

Fornitore	Ruolo	Sede	Link DPA / Privacy
Brevo (Sendinblue S.A.S.)	Piattaforma di e-mail marketing – Responsabile del trattamento per invio newsletter, gestione contatti, tracciamento aggregato	Francia (Parigi)	https://www.brevo.com/legal/termsofservice/ (Appendix 3 – DPA) https://www.brevo.com/legal/privacypolicy/
Aruba S.p.A.	Provider di dominio, hosting e-mail – Responsabile del trattamento per la gestione del dominio e dell’indirizzo e-mail del Titolare	Italia	https://www.aruba.it/documents/tc-files/it/11_it_privacy_policy_aruba.aspx
Google LLC (Google Drive)	Servizio di cloud storage – Responsabile del trattamento per l’hosting dei materiali scaricabili	Irlanda / UE, con eventuali trasferimenti tecnici verso USA e altri Paesi terzi nel rispetto delle clausole contrattuali standard e delle ulteriori misure previste dal DPA.	https://workspace.google.com/terms/dpa_terms.html
Zoom Video Communications, Inc.	Piattaforma per videoconferenze – Responsabile del trattamento per l’erogazione dei webinar	USA (con salvaguardie GDPR)	https://explore.zoom.us/en/privacy/ https://explore.zoom.us/en/trust/legal-compliance/
Meta Platforms, Inc. (Instagram)	Piattaforma social – Titolare autonomo del trattamento per i dati trattati sulla propria piattaforma	USA / Irlanda	https://privacycenter.instagram.com/policy

Per l’invio della newsletter, il Titolare utilizza la piattaforma Brevo (https://www.brevo.com). Brevo agisce quale responsabile del trattamento ai sensi dell’art. 28 del GDPR e il relativo Data Processing Agreement (DPA) è incluso nei Termini di Servizio di Brevo (Appendix 3). Per informazioni sulle pratiche di Brevo e l’elenco dei sub-processori, visitare le relative pagine legali: https://www.brevo.com/legal/termsofservice/.

I sub-processori di Brevo includono, tra gli altri: OVH (hosting, Francia), Google Cloud Platform (hosting, Francia/Belgio), Cloudflare (CDN/WAF, USA/EU), Zendesk (ticketing/support, USA/EU). L’elenco aggiornato dei sub-processori è disponibile nell’Annex 2 del DPA di Brevo.

Nota importante: Si precisa che le piattaforme social quali Instagram, YouTube, TikTok e simili, quando l’utente accede ai link contenuti nelle e-mail della newsletter, agiscono in qualità di titolari autonomi del trattamento dei dati personali e non di responsabili del trattamento per conto del Dott. Mazzotta. Il trattamento dei dati effettuato da tali piattaforme è disciplinato dalle rispettive informative privacy (cfr. Sezione 21).

L’elenco dei responsabili e sub-processori è soggetto ad aggiornamento. L’interessato può ottenere in qualsiasi momento l’elenco aggiornato scrivendo a: newsletter@davidemazzotta.it.

11. Trasferimenti internazionali di dati

I dati personali degli iscritti sono trattati principalmente all’interno dell’Unione Europea e dello Spazio Economico Europeo (SEE). Tuttavia, alcuni dei fornitori e sub-processori utilizzati dal Titolare e dalla piattaforma Brevo hanno sede o utilizzano infrastrutture localizzate al di fuori dell’UE/SEE, in particolare negli Stati Uniti d’America.

In particolare, i dati di contatto (indirizzi e-mail e relative preferenze) sono conservati su infrastrutture di Brevo localizzate nell’Unione Europea, mentre alcuni sub-fornitori possono trattare dati tecnici (log, eventi di sicurezza, traffico di rete) anche al di fuori dell’UE/SEE per finalità di erogazione del servizio, sicurezza e monitoraggio delle performance. In tali casi, i dati sono protetti tramite idonee garanzie contrattuali e tecniche, come descritto nel DPA di Brevo e nei relativi allegati.

In tali casi, i trasferimenti di dati personali verso Paesi terzi avvengono nel pieno rispetto del GDPR e sulla base di una o più delle seguenti salvaguardie:

• Decisioni di adeguatezza della Commissione Europea ai sensi dell’art. 45 GDPR;
• EU-US Data Privacy Framework, ove applicabile e finché riconosciuto valido;
• Clausole Contrattuali Standard (Standard Contractual Clauses – SCC) approvate dalla Commissione Europea ai sensi dell’art. 46, par. 2, lett. c) GDPR;
• Binding Corporate Rules (BCR), ove adottate dai sub-processori;
• Misure supplementari tecniche e organizzative ove necessarie.

In particolare, come risulta dal DPA di Brevo (Appendix 3, Annex 2), i principali trasferimenti extra-UE riguardano:

• Google Cloud Platform (GCP): hosting in Francia/Belgio, con possibili trasferimenti USA – Salvaguardia: EU-US Data Privacy Framework + SCC;
• Cloudflare: CDN/WAF, USA/EU – Salvaguardia: EU-US Data Privacy Framework + SCC + Data Localization Suite;
• Zendesk: ticketing/support, USA/EU – Salvaguardia: BCR + SCC.

Per i sub‑processori extra‑UE della piattaforma Brevo, quest’ultima ha effettuato le valutazioni richieste dalla giurisprudenza europea (inclusa la sentenza Schrems II) e ha implementato misure contrattuali, tecniche e organizzative supplementari per garantire un livello di protezione sostanzialmente equivalente a quello dell’Unione Europea. Il Titolare, in qualità di cliente di Brevo, si basa su tali valutazioni e monitora periodicamente l’adeguatezza delle garanzie offerte dai fornitori coinvolti.

L’interessato ha il diritto di ottenere informazioni in merito alla base giuridica dei trasferimenti extra-UE, nonché copia delle salvaguardie adottate, contattando il Titolare all’indirizzo newsletter@davidemazzotta.it.

12. Periodo di conservazione dei dati (Retention Schedule)

I dati personali sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per le quali sono stati raccolti, secondo il seguente schema:

Categoria di dati	Periodo di conservazione	Criterio
Indirizzo e-mail (iscritti attivi)	Fino alla revoca del consenso o alla disiscrizione dalla newsletter	Art. 6, par. 1, lett. a) GDPR e, ove applicabile, Art. 9, par. 2, lett. a) GDPR – trattamento basato sul consenso esplicito dell’interessato, finché il servizio è attivo e l’utente non ha manifestato opposizione
Indirizzo e-mail e preferenze (iscritti inattivi)	Massimo 36 mesi dall’ultima interazione positiva o conferma di interesse	In conformità al principio di accountability e proporzionalità, il periodo di 36 mesi è stabilito per garantire la continuità informativa per l’intera durata del ciclo di studi universitario di primo livello (Laurea Triennale). Il sistema monitora lo stato di attività attraverso un attributo denominato DATA_ATTIVITA, inizializzato al momento dell’iscrizione e aggiornato automaticamente ad ogni interazione dispositiva dell’utente (es. modifica preferenze). Al decorso di 35 mesi dall’ultimo aggiornamento dell’attributo, il sistema invia una comunicazione tecnica di re-engagement per verificare la persistenza dell’interesse. In assenza di un’azione positiva (clic sul link di conferma) entro i successivi 30 giorni, il contatto viene eliminato definitivamente (Hard Delete) da tutte le liste di invio al raggiungimento esatto del 36° mese
Profilo dell’utente disiscritto	Massimo 24 mesi dalla disiscrizione	In conformità al Diritto all’Oblio (Art. 17 GDPR), il sistema provvede alla cancellazione integrale e definitiva (Hard Delete) di ogni attributo e cronologia del profilo utente decorso un biennio dalla revoca del consenso.
Dati statistici aggregati (analytics)	36 mesi dalla data di raccolta	Trattamento basato sull’interesse legittimo del Titolare (art. 6, par. 1, lett. f) GDPR) a migliorare la qualità del servizio, nel rispetto dei diritti e delle libertà degli interessati
Dati relativi alla prova del consenso (log tecnici)	5 anni dalla revoca del consenso o dalla disiscrizione	I dati essenziali costituenti la prova del consenso (email, timestamp dell’invio e del clic di conferma, Message ID e versione dell’informativa accettata) sono originati dai log transazionali della piattaforma Brevo. Considerata la limitazione tecnica di esportazione della piattaforma, l’indirizzo IP utilizzato al momento del double opt-in è accessibile esclusivamente tramite l’interfaccia della piattaforma Brevo per un periodo massimo di 24 mesi. Decorso tale termine, la prova della validità del consenso sarà garantita dalla conservazione dei restanti metadati sopra indicati (email, timestamp e Message ID) che verranno estratti periodicamente e archiviati in un archivio locale protetto e criptato sotto il controllo diretto del Titolare per un periodo di 5 anni dalla cessazione del rapporto (disiscrizione). Tale conservazione è finalizzata esclusivamente all’esercizio e alla difesa di diritti in sede giudiziaria o amministrativa, in linea con i termini di prescrizione previsti dalla Legge 689/1981 e dall’Art. 2947 c.c.
Log di sistema e backup	12 mesi dalla creazione	Per finalità di sicurezza e manutenzione del sistema
Documentazione contrattuale e amministrativa	10 anni dalla cessazione del rapporto	Per adempiere ad obblighi fiscali e normativi (D.lgs. 196/2003, Codice Civile)

Al termine del periodo di conservazione, i dati personali saranno cancellati definitivamente o anonimizzati in modo irreversibile. L’interessato ha il diritto di richiedere la cancellazione anticipata in qualsiasi momento (cfr. Sezione 17).

13. Tracciamento e analytics nelle e-mail

Le e-mail inviate tramite la piattaforma Brevo possono contenere tecnologie di tracciamento (pixel di tracciamento e URL tracking) che consentono di rilevare, in forma aggregata:

• se un’e-mail è stata aperta (open tracking);
• se e quali link contenuti nell’e-mail sono stati cliccati (click tracking);
• la data e l’ora dell’interazione.

Il Titolare utilizza la funzionalità “Anonymous Email Tracking” di Brevo per le sole campagne di marketing, newsletter e comunicazioni promozionali. Ciò significa che, per tali invii, i dati di interazione con le e-mail sono raccolti e analizzati esclusivamente in forma aggregata e anonima (es. percentuale complessiva di apertura, percentuale complessiva di clic per ciascuna campagna), al solo fine di:

• valutare l’efficacia delle comunicazioni inviate;
• migliorare la qualità e la rilevanza dei contenuti della newsletter;
• comprendere le tematiche di maggiore interesse per gli iscritti nel loro complesso.

I dati di tracciamento NON vengono utilizzati per:

• profilare i singoli iscritti;
• inviare comunicazioni personalizzate basate sul comportamento individuale;
• assumere decisioni automatizzate relative a singoli interessati;
• cedere o condividere dati individuali con terze parti per finalità di marketing.

La funzionalità di tracciamento è parte integrante del servizio fornito dalla piattaforma Brevo ed è disciplinata dal relativo DPA (Appendix 3 dei Termini di Servizio di Brevo).

Si specifica che il tracciamento dei clic rimane attivo in forma individuale esclusivamente all’interno delle e-mail transazionali di sistema (come le e-mail di conferma iscrizione e double opt-in). Questo trattamento tecnico limitato è necessario per adempiere all’obbligo legale di dimostrare e documentare il rilascio del consenso da parte dell’interessato (Art. 7, par. 1 del GDPR) e per tutelare i diritti del Titolare. La funzionalità di tracciamento è parte integrante del servizio fornito dalla piattaforma Brevo ed è disciplinata dal relativo DPA (Appendix 3 dei Termini di Servizio di Brevo).

In virtù dell’attivazione della funzione ‘Anonymous Email Tracking’, il Titolare non monitora l’apertura delle singole newsletter per fini di profilazione. Tuttavia, al fine di rispettare il principio di limitazione della conservazione, il sistema aggiorna la data di ‘Ultima Attività’ esclusivamente a seguito di interazioni identificabili (quali la conferma del Double Opt-In, l’invio di moduli di aggiornamento profilo o l’interazione con comunicazioni di re-engagement). Se un contatto non compie alcuna azione identificabile per 36 mesi, il Titolare procederà alla disiscrizione automatica per inattività, garantendo che i dati non siano conservati oltre la durata media di un ciclo di studi universitario triennale.

Per garantire il rispetto del principio di limitazione della conservazione, il Titolare utilizza un automatismo tecnico che aggiorna la data di ‘Ultima Attività’ (DATA_ATTIVITA) ogni volta che l’utente interagisce con il proprio profilo o risponde alle procedure di conferma interesse. Tale tracciamento è finalizzato esclusivamente alla gestione igienica del database e alla corretta applicazione dei termini di cancellazione automatica, e non viene utilizzato per finalità di profilazione comportamentale o invio di pubblicità mirata.

14. Profilazione e decisioni automatizzate

Il Titolare dichiara di NON effettuare alcuna attività di:

• Profilazione individuale degli iscritti alla newsletter;
• Decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione, che producano effetti giuridici che riguardano l’interessato o che incidano in modo analogo significativamente sulla sua persona (art. 22 GDPR).

Le uniche analisi effettuate sono di natura statistica aggregata e anonima (cfr. Sezione 13) e non consentono in alcun modo l’identificazione o la profilazione di singoli iscritti.

Eventuali funzionalità automatizzate messe a disposizione da Brevo (ad esempio invio automatico di e-mail di benvenuto o di promemoria generali) sono utilizzate esclusivamente per gestire in modo efficiente il servizio di newsletter e non danno luogo a profilazione individuale dei destinatari, né producono effetti giuridici o analogamente significativi sull’interessato ai sensi dell’art. 22 GDPR.

15. Misure di sicurezza tecniche e organizzative

Il Titolare, avvalendosi della piattaforma Brevo e dei relativi sub-processori, adotta le seguenti misure di sicurezza tecniche e organizzative per proteggere i dati personali degli iscritti:

Misure tecniche:

• Cifratura dei dati in transito (TLS/SSL) e a riposo;
• Controllo degli accessi con credenziali personali e autenticazione a più fattori (MFA);
• Protezione firewall e sistemi di rilevamento intrusioni;
• Protezione antivirus e antimalware;
• Backup periodici dei dati con procedure di disaster recovery;
• Monitoraggio e logging degli accessi ai sistemi;
• Sistemi di protezione contro attacchi DDoS (CDN/WAF Cloudflare).

Misure organizzative:

• Accesso ai dati limitato al solo Titolare e ai soggetti debitamente autorizzati;
• Obbligo di riservatezza per tutti i soggetti che hanno accesso ai dati;
• Stipula di DPA con tutti i responsabili del trattamento;
• Verifica periodica della conformità dei fornitori;
• Procedure documentate per la gestione delle violazioni dei dati (Data Breach).

Brevo è attualmente certificata ISO 27001:2022 e adotta le misure di sicurezza dettagliate nell’Appendix 4 dei propri Termini di Servizio.

16. Procedura in caso di violazione dei dati (Data Breach)

In caso di violazione dei dati personali (Data Breach) ai sensi dell’art. 33 GDPR, il Titolare:

• Notificherà la violazione all’Autorità Garante per la protezione dei dati personali (Garante Privacy) entro 72 ore dal momento in cui ne viene a conoscenza, qualora la violazione sia suscettibile di presentare un rischio per i diritti e le libertà delle persone fisiche;
• Comunicherà la violazione agli interessati senza ingiustificato ritardo, qualora la violazione sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, ai sensi dell’art. 34 GDPR;
• Documenterà qualsiasi violazione, compresi i fatti relativi alla stessa, le sue conseguenze e i provvedimenti adottati per porvi rimedio;
• Collaborerà con Brevo e gli altri responsabili del trattamento per identificare le cause della violazione e adottare le misure correttive necessarie.

Brevo, in qualità di responsabile del trattamento, si impegna a notificare al Titolare senza ingiustificato ritardo qualsiasi violazione dei dati personali di cui venga a conoscenza, in conformità a quanto previsto dal DPA (Appendix 3, Sezione 5.7).

17. Diritti dell’interessato e modalità di esercizio

Ai sensi degli artt. 15-22 del GDPR, l’interessato ha il diritto di:

• Diritto di accesso (art. 15): 

ottenere conferma dell’esistenza o meno di dati personali che lo riguardano, anche se non ancora registrati, e la comunicazione in forma intelligibile dei medesimi dati e delle informazioni previste dall’articolo.

• Diritto di rettifica (art. 16): 

ottenere la rettifica di dati personali inesatti e l’integrazione di dati personali incompleti.

• Diritto alla cancellazione / diritto all’oblio (art. 17): 

ottenere la cancellazione dei dati personali che lo riguardano, salvo le eccezioni previste dalla legge.

• Diritto di limitazione del trattamento (art. 18): 

ottenere la limitazione del trattamento dei dati personali nei casi previsti dalla normativa.

• Diritto alla portabilità dei dati (art. 20): 

ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che lo riguardano e ha il diritto di trasmettere tali dati a un altro titolare del trattamento.

• Diritto di opposizione (art. 21): 

opporsi al trattamento dei dati personali che lo riguardano. Per le comunicazioni di marketing diretto (Casella n. 2), l’interessato può opporsi al trattamento in qualsiasi momento, gratuitamente e senza fornire alcuna motivazione.

• Diritto di revoca del consenso (art. 7, par. 3): 

revocare il consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca.

• Diritto di proporre reclamo (art. 77): 

proporre reclamo all’Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it) o agire in sede giudiziale.

Modalità di esercizio dei diritti:

L’interessato può esercitare i propri diritti inviando una richiesta scritta a:

• E-mail: newsletter@davidemazzotta.it

La richiesta è gratuita. Il Titolare risponderà nel più breve tempo possibile e, in ogni caso, entro un mese dalla ricezione della richiesta. Tale termine potrà essere prorogato di ulteriori due mesi, se necessario, tenuto conto della complessità e del numero delle richieste. In tal caso, il Titolare informerà l’interessato della proroga e dei motivi del ritardo entro un mese dalla ricezione della richiesta. L’interessato potrà essere tenuto a fornire elementi utili alla propria identificazione.

18. Modalità di revoca del consenso e disiscrizione

L’interessato può revocare il consenso e disiscriversi dalla newsletter in qualsiasi momento attraverso le seguenti modalità:

• Cliccando sul link “Disiscriviti” (o “Unsubscribe”) presente in calce a ogni e-mail inviata dal Titolare tramite la piattaforma Brevo;
• Inviando una comunicazione scritta all’indirizzo e-mail: newsletter@davidemazzotta.it, specificando la propria richiesta di disiscrizione.
• Disiscrizione automatica per inattività: oltre ai metodi di revoca manuale sopra indicati, il Titolare implementa una procedura automatizzata di ‘Diritto all’Oblio’ che provvede alla cancellazione totale e definitiva dei dati degli iscritti che rimangono inattivi per un periodo superiore a 36 mesi, previa notifica tecnica inviata al 35° mese. Tale misura assicura che i dati personali non siano conservati oltre il tempo strettamente necessario al raggiungimento delle finalità informative legate al ciclo di studi universitario.

Gestione delle preferenze:

L’interessato che abbia prestato il consenso sia alla newsletter psicoeducativa (Casella n. 1) sia alle comunicazioni promozionali (Casella n. 2) può revocare esclusivamente il consenso alle comunicazioni promozionali, mantenendo attiva l’iscrizione alla newsletter psicoeducativa. Tale richiesta può essere inoltrata scrivendo a newsletter@davidemazzotta.it.

Conseguenze della revoca:

• La revoca del consenso alla Casella n. 1 comporta la disiscrizione completa dalla newsletter e la cessazione di ogni comunicazione da parte del Titolare;
• La revoca del consenso alla sola Casella n. 2 comporta la cessazione delle sole comunicazioni professionali e promozionali, senza pregiudicare la ricezione della newsletter psicoeducativa;
• La revoca del consenso non pregiudica la liceità del trattamento effettuato prima della revoca.

Politica di Cancellazione Definitiva (Hard Delete):

Si informa l’interessato che, a seguito della disiscrizione, il Titolare ha configurato sistemi di automazione che garantiscono la “igiene dei dati” e il rispetto del principio di limitazione della conservazione. Nello specifico, i dati identificativi e comportamentali associati al profilo dell’utente saranno cancellati definitivamente dai sistemi operativi entro il termine massimo di 24 mesi dalla disiscrizione. Decorso tale termine, il Titolare non sarà più in grado di ripristinare il profilo dell’utente, né di fornire dettagli sulle precedenti interazioni, fatta eccezione per i log tecnici necessari a dimostrare la liceità del trattamento pregresso, conservati in archivio separato e protetto per i soli fini di legge.

19. Minori

La newsletter è rivolta a studenti universitari, pertanto a un pubblico tendenzialmente maggiorenne. Tuttavia, poiché alcuni studenti universitari possono essere minorenni, il Titolare ha fissato l’età minima per l’iscrizione a 14 anni, in conformità all’art. 8 GDPR e all’art. 2-quinquies del D.lgs. 196/2003 (Codice Privacy italiano), che stabilisce in 14 anni l’età minima per prestare validamente il consenso al trattamento dei dati personali in relazione ai servizi della società dell’informazione.

L’interessato dichiara, al momento dell’iscrizione (Casella n. 3), di avere almeno 14 anni. Il Titolare non è in grado di verificare autonomamente l’età degli iscritti; pertanto, qualora venisse a conoscenza che un iscritto ha un’età inferiore a 14 anni, provvederà immediatamente alla cancellazione dei relativi dati personali.

Per i minori di età compresa tra 14 e 18 anni, si raccomanda che l’iscrizione avvenga con il consenso o sotto la supervisione di un genitore o tutore legale.

20. Conseguenze del mancato conferimento dei dati

• Il mancato conferimento dell’indirizzo e-mail e la mancata selezione della Casella n. 1 rendono impossibile l’iscrizione alla newsletter e, conseguentemente, la fruizione del servizio di newsletter psicoeducativa e delle risorse gratuite correlate.
• La mancata selezione della Casella n. 2 non pregiudica l’iscrizione alla newsletter psicoeducativa, ma impedisce al Titolare di inviare comunicazioni professionali e promozionali.
• La mancata selezione della Casella n. 3 rende impossibile completare l’iscrizione, in quanto tale dichiarazione è necessaria per attestare la presa visione dell’Informativa sulla Privacy, il raggiungimento dell’età minima e il consenso al trattamento dei dati tramite la piattaforma Brevo.

21. Link e rimandi a piattaforme di terze parti

Le e-mail inviate dal Titolare tramite la newsletter possono contenere link (URL) che rimandano a piattaforme e siti web esterni, tra cui a titolo esemplificativo e non esaustivo:

• Instagram (www.instagram.com) – pagina del Titolare;
• YouTube (www.youtube.com) – canale del Titolare;
• TikTok (www.tiktok.com) – profilo del Titolare;
• Zoom (www.zoom.us) – piattaforma per webinar;
• Google Drive (drive.google.com) – per il download di risorse gratuite;
• Sito internet del Titolare (www.davidemazzotta.it);
• Altre piattaforme per l’acquisto di prodotti, corsi, libri ed eventi del Titolare.

AVVISO IMPORTANTE: Cliccando su tali link, l’utente uscirà dall’ambito di controllo del Titolare e sarà reindirizzato verso siti web e piattaforme gestiti da soggetti terzi. A partire da quel momento, il trattamento dei dati personali dell’utente sarà disciplinato dalle informative privacy, dalle politiche sui cookie e dai termini e condizioni di tali piattaforme terze, e non dalla presente Informativa.

Il Titolare non è responsabile del contenuto, delle funzionalità, delle pratiche di protezione dei dati e delle politiche privacy adottate dai siti web e dalle piattaforme di terze parti. Si invita l’utente a consultare le rispettive informative privacy prima di fornire qualsiasi dato personale a tali piattaforme.

Il consenso alla newsletter NON estende il consenso al tracciamento di queste piattaforme terze. Quando l’utente accede a link esterni, è soggetto alle loro politiche privacy. L’utente può sempre gestire le proprie preferenze privacy nel proprio account Google, Meta, o disattivare i cookie nel browser.

Cookie e tecnologie di tracciamento sul sito del Titolare

Oltre al tracciamento anonimo delle e-mail descritto nella presente Informativa, il sito web del Titolare (www.davidemazzotta.it) potrà utilizzare cookie e altri strumenti di tracciamento per finalità tecniche, statistiche e, se del caso, di marketing. Tali trattamenti saranno disciplinati da una cookie policy dedicata, consultabile sul sito stesso, che descriverà in modo dettagliato le tipologie di cookie utilizzate, le finalità e le modalità per gestire le preferenze dell’utente.

22. Nota sui dati di categoria particolare (salute mentale)

Il Titolare è consapevole che l’iscrizione a una newsletter incentrata sulla salute mentale universitaria può costituire, in via indiretta, un’informazione relativa allo stato di salute dell’interessato, rientrando pertanto nella categoria dei “dati particolari” di cui all’art. 9 del GDPR. In questo contesto il Titolare non raccoglie né tratta, tramite la lista newsletter, diagnosi, referti clinici o informazioni sanitarie dettagliate, ma unicamente il dato indiretto dell’interesse dell’iscritto per tematiche di benessere psicologico e salute mentale universitaria.

Il trattamento di tali dati avviene esclusivamente sulla base del consenso esplicito dell’interessato (art. 9, par. 2, lett. a) GDPR), manifestato mediante la compilazione del modulo di iscrizione e la selezione delle caselle previste.

Il Titolare si impegna ad adottare misure rafforzate di sicurezza per la protezione di tali dati e a non condividere, diffondere o cedere a terzi alcuna informazione che possa rivelare, direttamente o indirettamente, lo stato di salute psicologica degli iscritti.

23. Disclaimer – La newsletter non sostituisce il supporto psicologico

AVVERTENZA IMPORTANTE: I contenuti della newsletter del Dott. Davide Mazzotta hanno scopo esclusivamente informativo, divulgativo e psicoeducativo. Essi NON costituiscono e NON sostituiscono in alcun modo:

• una prestazione professionale di supporto psicologico o psicoterapeutico;
• una diagnosi clinica;
• un parere medico o psicologico personalizzato;
• un trattamento terapeutico di qualsiasi natura.

I contenuti non sono diretti a singoli individui e non tengono conto delle specifiche circostanze personali dei singoli iscritti. In caso di disagio psicologico o necessità di supporto professionale, si raccomanda di rivolgersi a un professionista qualificato (psicologo, psicoterapeuta, psichiatra) o ai servizi di counselling universitario disponibili presso il proprio ateneo.

24. Clausole specifiche per webinar e registrazioni

Il Titolare potrà organizzare webinar gratuiti e a pagamento a tema universitario e salute mentale, erogati tramite la piattaforma Zoom o piattaforme analoghe.

Registrazione dei webinar:

Qualora un webinar venga registrato (audio e/o video), la registrazione sarà comunicata ai partecipanti prima dell’evento. La partecipazione a webinar registrati potrà richiedere un consenso esplicito e separato alla registrazione audiovisiva, che sarà raccolto prima dell’inizio dell’evento stesso.

Informativa separata:

Per ciascun webinar che preveda la registrazione audiovisiva, il Titolare fornirà un’informativa privacy separata e specifica, con le seguenti indicazioni:

• Finalità della registrazione (es. messa a disposizione del replay ai partecipanti, uso didattico, archiviazione);
• Durata della conservazione della registrazione;
• Soggetti che avranno accesso alla registrazione;
• Modalità di esercizio dei diritti dell’interessato in relazione alla registrazione.

La partecipazione a un webinar non registrato non richiede alcun consenso aggiuntivo oltre a quello già prestato al momento dell’iscrizione alla newsletter.

25. Marketing e comunicazioni commerciali (opt-in / opt-out)

Le comunicazioni professionali e promozionali di cui alla Finalità D (Sezione 7) sono inviate esclusivamente agli iscritti che hanno prestato il consenso esplicito e separato tramite la selezione della Casella n. 2 del modulo di iscrizione (opt-in).

Il Titolare non effettua segmentazione del pubblico se non con il consenso esplicito degli iscritti e limitatamente alla distinzione tra le due liste di distribuzione (newsletter psicoeducativa e comunicazioni promozionali).

Eventuali riferimenti a servizi o prodotti a pagamento inseriti all’interno di contenuti psicoeducativi, materiali gratuiti o webinar gratuiti non costituiscono di per sé comunicazioni di marketing diretto e non determinano l’invio di e‑mail promozionali aggiuntive in assenza del consenso espresso alla Casella n. 2.

Opt-out: L’interessato può revocare in qualsiasi momento il consenso alle comunicazioni promozionali (Casella n. 2) tramite:

• il link “Disiscriviti” presente in calce a ciascuna e-mail promozionale;
• una comunicazione scritta all’indirizzo: newsletter@davidemazzotta.it.

La revoca del consenso alle comunicazioni promozionali non pregiudica la ricezione della newsletter psicoeducativa (Casella n. 1).

26. Comunicazioni relative a servizi professionali sanitari

Il Titolare è un professionista sanitario iscritto all’Ordine degli Psicologi. Le comunicazioni promozionali relative ai servizi professionali a pagamento (es. disponibilità di posti per percorsi di supporto psicologico, consulenze psicologiche individuali, apertura dello studio privato) saranno effettuate nel pieno rispetto delle norme deontologiche e delle disposizioni legislative applicabili alla professione di psicologo, con particolare riferimento a:

• Codice Deontologico degli Psicologi italiani;
• Art. 2, comma 1 della Legge 56/1989 (Ordinamento della professione di psicologo);
• Linee guida dell’Ordine degli Psicologi in materia di pubblicità sanitaria e informazione.

Le comunicazioni promozionali relative a servizi sanitari a pagamento avranno carattere informativo, non ingannevole e non suggestivo, e non conterranno in alcun caso promesse di risultati terapeutici.

27. Clausole contrattuali e link ai DPA / TOU

Di seguito si riportano i link ai principali Data Processing Agreement (DPA), Termini di Servizio (TOU) e Informative Privacy dei fornitori utilizzati dal Titolare:

• Brevo – Termini di Servizio (incluso DPA, Appendix 3): https://www.brevo.com/legal/termsofservice/
• Brevo – Privacy Policy: https://www.brevo.com/legal/privacypolicy/
• Brevo – Lista Sub-processori: inclusa nell’Annex 2 del DPA (Appendix 3)
• Google Workspace (Google Drive) – DPA: https://workspace.google.com/terms/dpa_terms.html
• Google – Privacy Policy: https://policies.google.com/privacy
• Zoom – Privacy Policy: https://explore.zoom.us/en/privacy/
• Zoom – Trust Center: https://explore.zoom.us/en/trust/legal-compliance/
• Aruba – Privacy Policy: https://www.aruba.it/documents/tc-files/it/11_it_privacy_policy_aruba.aspx
• Instagram (Meta) – Privacy Policy: https://privacycenter.instagram.com/policy
• YouTube (Google) – Termini di Servizio: https://www.youtube.com/t/terms
• TikTok – Privacy Policy: https://www.tiktok.com/legal/privacy-policy

28. Politica di conservazione dei backup e cancellazione definitiva

I backup dei dati personali degli iscritti sono conservati nei server della piattaforma Brevo e dei relativi sub-processori per un periodo massimo di 12 mesi dalla loro creazione, dopodiché vengono eliminati automaticamente.

I periodi di conservazione dei dati personali in ambiente operativo e l’ulteriore conservazione dei log tecnici e della prova del consenso sono descritti in dettaglio nella Sezione 12 (Retention Schedule). La presente Sezione 28 disciplina in particolare i tempi di conservazione dei soli backup di sistema e le modalità operative di cancellazione definitiva.

In caso di richiesta di cancellazione da parte dell’interessato o di disiscrizione dalla newsletter:

• I dati personali dell’iscritto saranno rimossi dalle liste di distribuzione attive entro 30 giorni dalla richiesta;
• I dati contenuti nei backup saranno eliminati entro il termine massimo di conservazione dei backup (12 mesi);
• Le prove del consenso (identificativo email, Message ID e timestamp della conferma DOI) sono conservate tramite report estratti periodicamente dalla piattaforma Brevo e archiviate su supporto informatico locale protetto da crittografia integrale del disco (FileVault) e da password complessa. In conformità al principio di minimizzazione dei dati e nel rispetto delle limitazioni tecniche dei sistemi di esportazione, l’indirizzo IP associato alla transazione di iscrizione sarà conservato solo per il periodo di disponibilità sulla piattaforma esterna (24 mesi), mentre l’integrità della prova del consenso per l’intera durata del termine quinquennale sarà assicurata dalla persistenza degli altri metadati tecnici univoci estratti. Tale procedura garantisce che le evidenze del rilascio del consenso siano mantenute per l’intera durata del termine prescrizionale di 5 anni, superando i limiti tecnici di conservazione della piattaforma esterna.

La cancellazione definitiva dei dati comporterà l’impossibilità di recuperare le informazioni dell’interessato. Il Titolare si impegna a documentare le procedure di cancellazione per garantirne la tracciabilità.

29. Registro delle attività di trattamento

Il Titolare mantiene costantemente aggiornato un Registro delle attività di trattamento ai sensi dell’art. 30 del GDPR. Tale adempimento è obbligatorio in quanto l’attività di newsletter tratta, seppur indirettamente, categorie particolari di dati (Art. 9 GDPR) e non ha carattere occasionale. Il Registro contiene tutte le informazioni relative a finalità, interessati, destinatari e misure di sicurezza, ed è disponibile per la consultazione da parte dell’Autorità di controllo. Il Registro include, tra le altre informazioni:

• il nome e i dati di contatto del Titolare;
• le finalità del trattamento;
• una descrizione delle categorie di interessati e delle categorie di dati personali;
• le categorie di destinatari a cui i dati personali sono stati o saranno comunicati;
• i trasferimenti di dati personali verso Paesi terzi;
• i termini ultimi previsti per la cancellazione delle diverse categorie di dati;
• una descrizione generale delle misure di sicurezza tecniche e organizzative adottate.

Informazioni aggiuntive sul Registro delle attività di trattamento sono disponibili su richiesta, scrivendo a: newsletter@davidemazzotta.it.

30. Registro delle modifiche / Cronologia versioni

Versione	Data	Modifiche	Motivo
1.0	29/03/2026	Prima pubblicazione	Adozione dell’Informativa sulla Privacy per il servizio di newsletter

Il Titolare si riserva il diritto di apportare modifiche alla presente Informativa in qualunque momento, dandone comunicazione tramite aggiornamento della data di ultimo aggiornamento e, ove possibile, tramite comunicazione diretta agli iscritti via e-mail. Qualora le modifiche interessino trattamenti basati sul consenso, il Titolare provvederà a raccogliere nuovamente il consenso dell’interessato ove necessario.

31. Contatti e reclami

Per qualsiasi richiesta relativa al trattamento dei dati personali, all’esercizio dei diritti dell’interessato o per informazioni sulla presente Informativa:

• E-mail del Titolare: newsletter@davidemazzotta.it

L’interessato ha inoltre il diritto di proporre reclamo all’Autorità Garante per la protezione dei dati personali:

• Garante per la protezione dei dati personali
• Sito web: www.garanteprivacy.it
• E-mail: garante@gpdp.it
• PEC: protocollo@pec.gpdp.it
• Centralino: (+39) 06 696771

32. Legge applicabile e foro competente

La presente Informativa è redatta e disciplinata in conformità al Regolamento (UE) 2016/679 (GDPR), al D.lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali), come modificato dal D.lgs. 10 agosto 2018, n. 101, nonché a ogni altra normativa applicabile in materia di protezione dei dati personali.

Per qualsiasi controversia tra il Titolare e l’Interessato (qualificabile come consumatore), sarà competente in via esclusiva il Foro del luogo di residenza o domicilio dell’Interessato. In tutti gli altri casi, o qualora l’azione sia promossa dal Titolare, sarà competente il Foro di Brindisi.

APPENDICI

Appendice A – Modello testuale del consenso (Form di iscrizione)

Di seguito si riporta il testo integrale del modulo di iscrizione alla newsletter, così come pubblicato sulla piattaforma Brevo e condiviso dal Titolare:

—

Modulo di Iscrizione alla Newsletter dello Psicologo Davide Mazzotta

Iscriviti per ricevere ogni settimana contenuti psicoeducativi per vivere l’università con più equilibrio: approfondimenti di psicologia, consigli pratici e risorse gratuite (e-book, PDF). Se lo desideri, puoi anche scegliere di ricevere aggiornamenti sui miei progetti professionali e sulle mie iniziative a pagamento.

Inserisci il tuo indirizzo email per iscriverti (obbligatorio): ____________________

Esprimi le tue preferenze

Seleziona le caselle sottostanti per confermare a quali comunicazioni sei interessato. Potrai modificare le tue scelte o disiscriverti in ogni momento.

[ ] 1. Newsletter Psicoeducativa Universitaria e Risorse Gratuite (Obbligatorio per l’iscrizione)

Desidero ricevere la newsletter settimanale con contenuti psicoeducativi, riflessioni sulla salute mentale universitaria e l’accesso a risorse gratuite (e-book, guide, webinar gratuiti). Comprendo che questo servizio include link ai contenuti social e web del Titolare (es. pagina Instagram, canale YouTube, sito internet) e che tali comunicazioni non hanno carattere promozionale di servizi a pagamento.

[ ] 2. Comunicazioni Professionali e Promozionali (Facoltativo)

Desidero ricevere informazioni e promozioni riguardanti l’apertura dello studio clinico del Dott. Davide Mazzotta, la disponibilità di posti per percorsi di supporto psicologico a pagamento, corsi a pagamento (es. Mindfulness), webinar premium, prodotti (es. libri) ed eventi in presenza o online gestiti dal Titolare. Sono consapevole che il conferimento di questo consenso è facoltativo e che il suo mancato rilascio non pregiudica l’iscrizione alla newsletter psicoeducativa di cui al punto precedente.

[ ] 3. Dichiaro di aver letto l’Informativa sulla Privacy completa (Link), di avere almeno 14 anni e di essere consapevole che i miei dati saranno trattati tramite la piattaforma Brevo secondo le garanzie indicate nell’Informativa stessa. Dichiaro inoltre di essere a conoscenza dei miei diritti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso).

Puoi annullare l’iscrizione in qualsiasi momento utilizzando il link incluso nella newsletter o scrivendo a: newsletter@davidemazzotta.it.

—

Appendice B – Tabella di conservazione dei dati (Retention Schedule)

Dati identificativi per finalità di newsletter: Conservazione gestita tramite l’attributo tecnico DATA_ATTIVITA. Il ciclo prevede l’invio di un pre-avviso tecnico al 35° mese dall’ultima interazione registrata e la cancellazione definitiva automatica (Hard Delete) al 36° mese in caso di mancata risposta (inerzia). Per il dettaglio completo dei tempi di conservazione (inclusi log tecnici e backup), si rimanda alla tabella estesa della Sezione 12.

Log tecnici del consenso: Conservazione per 5 anni dalla disiscrizione. Nota tecnica: l’indirizzo IP è conservato solo per i primi 24 mesi su Brevo; la prova per il periodo successivo è garantita dai log transazionali (email, timestamp, MID) estratti annualmente.

Appendice C – Elenco dei responsabili e sub-processori

Cfr. Sezione 10 della presente Informativa per l’elenco dettagliato. L’elenco aggiornato è sempre disponibile su richiesta scrivendo a: newsletter@davidemazzotta.it.

Sub-processori di Brevo (elenco indicativo, soggetto ad aggiornamento):

• OVH – Hosting – Francia
• Google Cloud Platform (GCP) – Hosting – Francia/Belgio
• Cloudflare – CDN/WAF – USA/EU
• Zendesk – Ticketing/Support – USA/EU

Per l’elenco completo e aggiornato, consultare l’Annex 2 del DPA di Brevo: https://www.brevo.com/legal/termsofservice/

Appendice D – Politica di registrazione webinar

Qualora un webinar organizzato dal Titolare venga registrato, si applicano le seguenti disposizioni:

• La registrazione sarà comunicata ai partecipanti prima dell’inizio del webinar;
• Il consenso alla registrazione audiovisiva sarà raccolto in forma esplicita (es. dichiarazione verbale, checkbox, form dedicato) prima dell’inizio della registrazione;
• La registrazione sarà conservata per un periodo massimo di 36 mesi dalla data dell’evento, termine ritenuto idoneo a coprire l’intero ciclo di formazione universitaria degli iscritti, salvo diversa comunicazione specifica per singoli eventi;
• L’accesso alla registrazione sarà limitato ai partecipanti autorizzati e al Titolare;
• L’interessato potrà richiedere la rimozione della propria immagine/voce dalla registrazione scrivendo a: newsletter@davidemazzotta.it;
• Per ciascun webinar registrato sarà fornita un’informativa privacy separata e specifica.

Appendice E – Riepilogo delle misure di sicurezza

Cfr. Sezione 15 della presente Informativa. Le misure di sicurezza di Brevo sono dettagliate nell’Appendix 4 dei Termini di Servizio di Brevo e comprendono:

• Controllo degli accessi fisici e logici
• Cifratura in transito e a riposo
• Protezione firewall e antivirus
• Backup giornalieri con hard disk mirroring (RAID)
• UPS (Uninterruptible Power Supply)
• Sistema di allarme antincendio
• Piano di emergenza e disaster recovery
• Logging degli accessi e delle modifiche ai dati
• Separazione dei dati tra clienti (multi-tenancy)
• Formazione del personale su protezione dei dati
• Nomina di un Data Protection Officer (DPO): dpo@brevo.com
• Certificazione ISO 27001:2022

Appendice F – Link alle policy di terze parti

Brevo: Privacy Policy: https://www.brevo.com/legal/privacypolicy/
Termini di Servizio (incl. DPA): https://www.brevo.com/legal/termsofservice/

Google (Google Drive, YouTube): Privacy Policy: https://policies.google.com/privacy
DPA: https://workspace.google.com/terms/dpa_terms.html

Zoom: Privacy Policy: https://explore.zoom.us/en/privacy/
Trust Center: https://explore.zoom.us/en/trust/legal-compliance/

Aruba S.p.A.: Privacy Policy: https://www.aruba.it/documents/tc-files/it/11_it_privacy_policy_aruba.aspx

Meta (Instagram): Privacy Policy: https://privacycenter.instagram.com/policy
Termini di servizio: https://help.instagram.com/581066165581870

TikTok: Privacy Policy: https://www.tiktok.com/legal/privacy-policy

—

Ultimo aggiornamento: 29/03/2026

© Dott. Davide Mazzotta – Tutti i diritti riservati