$ cat privacy-policy.md

Informativa sulla Privacy

Ultimo aggiornamento: 27 ottobre 2026

Informativa resa ai sensi dell'art. 13 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 ("Codice Privacy"), come modificato dal D.Lgs. 101/2018, a chi visita questo sito e a chi scrive tramite il modulo di contatto.

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali raccolti tramite questo sito è Karlken Alvarez, libero professionista con sede a Milano e Partita IVA n.13466330969. Non è stato nominato un Responsabile della protezione dei dati (DPO), non essendo obbligatorio.

Per qualsiasi richiesta relativa al trattamento dei dati personali è possibile contattare il Titolare all'indirizzo email work@karlkenalvarez.com.

2. Dati trattati

2.1 Dati forniti volontariamente tramite il modulo di contatto

Quando si utilizza il modulo "$ send-message" nella sezione Contatti vengono raccolti i dati inseriti volontariamente dall'utente: nome, indirizzo email, testo del messaggio e, se indicati, azienda, telefono e servizio di interesse. Insieme alla richiesta vengono registrati la lingua del sito, la data e l'ora in cui è stata confermata la lettura di questa informativa e, se presenti nell'indirizzo della pagina, i parametri della campagna di provenienza (utm_source, utm_medium, utm_campaign).

I dati vengono inviati tramite connessione cifrata (HTTPS) al CRM (Odoo) installato e gestito direttamente dal Titolare su un proprio server in Italia (odoo.karlkenalvarez.com), passando dal reverse proxy descritto al punto 2.2, e vengono salvati come richiesta di contatto al solo scopo di rispondere e, se richiesto, preparare un preventivo. Alla ricezione, il Titolare riceve sul proprio telefono una notifica tramite WhatsApp con nome, azienda, servizio richiesto, email e telefono indicati e un estratto del messaggio. Per limitare gli invii automatici e gli abusi viene salvata un'impronta crittografica (hash) dell'indirizzo IP del mittente, non l'indirizzo stesso.

I dati non vengono utilizzati per finalità di marketing o newsletter, non vengono ceduti a terzi e non sono soggetti a profilazione. La casella da spuntare in fondo al modulo serve solo a confermare di aver letto questa informativa: non è una richiesta di consenso, perché il trattamento si basa sulla richiesta stessa (punto 4). Il modulo è facoltativo: in alternativa è sempre possibile scrivere a work@karlkenalvarez.com.

2.2 Dati tecnici di navigazione

Il sito è ospitato su infrastruttura AWS (Amazon Web Services), tramite AWS Amplify Hosting e la rete di distribuzione dei contenuti CloudFront. Come qualsiasi infrastruttura di hosting, è possibile che vengano generati log tecnici standard (ad es. indirizzo IP, user-agent, timestamp e pagina richiesta) per finalità di sicurezza, prevenzione di abusi e funzionamento tecnico del servizio.

Le richieste verso odoo.karlkenalvarez.com (invio del modulo di contatto) e verso analytics.karlkenalvarez.com (statistiche, punto 2.3) passano da un reverse proxy gestito dal Titolare su un server virtuale noleggiato da RackNerd LLC, con data center negli Stati Uniti. Il proxy termina la connessione HTTPS e inoltra subito la richiesta, attraverso un tunnel cifrato, al server in Italia: il contenuto è presente sul proxy solo in memoria per il tempo dell'inoltro e non viene salvato. Il proxy registra log tecnici (indirizzo IP, data e ora, indirizzo richiesto, esito della richiesta).

2.3 Statistiche di visita anonime (Umami)

Per sapere quante persone visitano il sito e quante scaricano il CV viene usatoUmami, uno strumento open source di statistiche ospitato direttamente dal Titolare su un proprio server in Italia (analytics.karlkenalvarez.com), senza terze parti (le richieste passano dal proxy descritto al punto 2.2). Umaminon usa cookie e non salva nulla sul dispositivo: registra la pagina visitata, il sito di provenienza, il tipo di dispositivo, browser e sistema operativo, la lingua, il paese/città approssimativi (ricavati dall'indirizzo IP, chenon viene memorizzato) e gli eventi di download del CV e di invio del modulo di contatto (lingua e servizio scelto, senza nessuno dei dati inseriti nel modulo). I dati sono trattati in forma aggregata e non permettono di identificare il singolo visitatore. Quando qualcuno scarica il CV, il Titolare riceve una notifica WhatsApp con questi soli dati statistici (ad es. città approssimativa, dispositivo, sito di provenienza). Se il browser invia il segnale "Do Not Track" la visita non viene conteggiata; in alternativa è sufficiente bloccare il dominio analytics.karlkenalvarez.com.

2.4 Nessun altro dato raccolto

Il sito non utilizza moduli di iscrizione, non richiede la creazione di account e non raccoglie altri dati personali oltre a quelli indicati sopra. Il sito non è rivolto ai minori di 14 anni, che non devono inviare dati tramite il modulo di contatto.

Questo sito non utilizza alcun tipo di cookie — né tecnico, né analitico, né di profilazione. L'unica informazione salvata sul dispositivo è la lingua scelta (italiano/inglese), memorizzata nel sessionStorage del browser per mantenerla passando da una pagina all'altra e cancellata automaticamente alla chiusura della scheda: è uno strumento tecnico, necessario a fornire il servizio richiesto, che non identifica il visitatore. Lo script di Umami si limita a leggere, senza scriverla, un'eventuale impostazione locale ("umami.disabled") con cui l'utente può escludersi dalle statistiche. Non sono presenti Google Analytics, Google Tag Manager, pixel di tracciamento né strumenti di profilazione.

Poiché vengono usati solo strumenti tecnici, per i quali non è richiesto il consenso (art. 122, comma 1, del Codice Privacy e Linee guida del Garante Privacy sui cookie e altri strumenti di tracciamento del 10 giugno 2021), il sito non mostra un banner di consenso. Gli unici font e icone utilizzati (Font Awesome) sono ospitati direttamente su questo dominio (self-hosted) e non vengono caricati da CDN o domini di terze parti.

4. Finalità e basi giuridiche del trattamento

Gestione delle richieste di contatto e dei preventivi: base giuridica art. 6.1.b GDPR (misure precontrattuali adottate su richiesta dell'interessato). Il conferimento dei dati è facoltativo, ma senza nome, email e messaggio non è possibile rispondere.
Adempimento di obblighi di legge (ad es. fiscali e contabili), solo se dalla richiesta nasce un rapporto professionale: base giuridica art. 6.1.c GDPR.
Prevenzione degli abusi del modulo (impronta dell'IP, limiti di invio):base giuridica art. 6.1.f GDPR (legittimo interesse alla sicurezza del servizio).
Sicurezza e funzionamento tecnico del sito e del proxy (log tecnici):base giuridica art. 6.1.f GDPR (legittimo interesse alla sicurezza della rete e delle informazioni).
Statistiche di visita anonime (Umami): base giuridica art. 6.1.f GDPR (legittimo interesse a capire, in forma aggregata, come viene usato il sito).

Non viene effettuata alcuna profilazione né alcuna decisione basata unicamente su trattamento automatizzato ai sensi dell'art. 22 GDPR.

5. Destinatari e responsabili del trattamento

I dati del modulo di contatto sono salvati nel CRM installato e gestito direttamente dal Titolare su un proprio server in Italia: nessun fornitore esterno vi ha accesso. Per il resto il Titolare si avvale di:

Amazon Web Services (AWS), per l'hosting e la distribuzione dei file del sito (Amplify Hosting, CloudFront), in qualità di responsabile del trattamento ex art. 28 GDPR. Secondo gli AWS Service Terms e quanto pubblicato sull'AWS GDPR Center, l'AWS Data Processing Addendum ("AWS DPA") è incorporato automaticamente nei termini contrattuali applicabili a tutti i clienti AWS, senza necessità di una sottoscrizione separata.
RackNerd LLC (Stati Uniti), fornitore del server virtuale su cui gira il reverse proxy descritto al punto 2.2: il Titolare gestisce il server, il fornitore mette a disposizione solo l'infrastruttura.
WhatsApp (WhatsApp Ireland Limited / Meta), per le sole notifiche al Titolare descritte ai punti 2.1 e 2.3. I messaggi sono cifrati end-to-end; Meta tratta i dati tecnici del servizio di messaggistica secondo la propria informativa.

I dati non vengono ceduti, venduti o comunicati a soggetti terzi per finalità diverse da quelle indicate in questa informativa.

6. Trasferimento dei dati extra-SEE

Reverse proxy (RackNerd, Stati Uniti): le richieste del modulo di contatto e delle statistiche transitano dal proxy descritto al punto 2.2, dove restano solo in memoria per il tempo dell'inoltro; sul proxy vengono conservati soltanto i log tecnici (punto 7.2). RackNerd non è coperta da una decisione di adeguatezza: per l'invio del modulo il trasferimento è necessario all'esecuzione di misure precontrattuali richieste dall'interessato (art. 49.1.b GDPR) e per tutti i transiti sono adottate misure tecniche di protezione (connessione HTTPS fino al proxy, tunnel cifrato verso l'Italia, nessuna memorizzazione dei contenuti, server amministrato solo dal Titolare). Chi preferisce evitare questo transito può scrivere direttamente a work@karlkenalvarez.com e bloccare il dominio analytics.karlkenalvarez.com.
AWS (CloudFront): la rete di distribuzione dei contenuti è globale e può servire i file statici del sito da sedi fuori dal SEE. I trasferimenti avvengono sulla base della decisione di adeguatezza della Commissione Europea del 10 luglio 2023 (EU-U.S. Data Privacy Framework), cui Amazon aderisce, e delle Clausole Contrattuali Standard incluse nell'AWS DPA.
WhatsApp (Meta): eventuali trasferimenti di dati tecnici verso Meta Platforms, Inc. negli Stati Uniti avvengono sulla base dello stesso EU-U.S. Data Privacy Framework, cui Meta aderisce; il contenuto dei messaggi è cifrato end-to-end.

7. Periodo di conservazione

7.1 Richieste ricevute tramite il modulo di contatto

Le richieste ricevute tramite il modulo di contatto (compresa l'impronta dell'IP e la relativa notifica) sono conservate per un periodo massimo di 24 mesi dalla ricezione, salvo che ne nasca un rapporto professionale (in tal caso i dati necessari sono conservati per la durata del rapporto e per il tempo previsto dagli obblighi di legge, ad es. 10 anni per la documentazione fiscale) o che sia necessario conservarle per altri obblighi di legge o per la tutela dei diritti del Titolare.

7.2 Log tecnici

I log tecnici del reverse proxy (punto 2.2) vengono ruotati automaticamente e cancellati di norma entro circa 30 giorni. Gli eventuali log dei servizi AWS (Amplify Hosting/CloudFront) sono conservati da AWS secondo le proprie politiche per il tempo necessario alla sicurezza e al funzionamento del servizio.

7.3 Statistiche di visita

I dati statistici di Umami, che non identificano il visitatore, sono conservati per un massimo di 24 mesi; le notifiche WhatsApp sui download del CV seguono lo stesso termine.

8. Diritti dell'interessato

Ai sensi degli artt. 15-22 del GDPR, l'interessato ha diritto di richiedere in qualsiasi momento:

l'accesso ai propri dati personali;
la rettifica o l'integrazione dei dati inesatti o incompleti;
la cancellazione dei dati, nei casi previsti dalla normativa;
la limitazione del trattamento;
la portabilità dei dati;
l'opposizione al trattamento basato sul legittimo interesse (art. 6.1.f), per motivi connessi alla propria situazione particolare (art. 21 GDPR).

Nessun trattamento di questo sito si basa sul consenso; se in futuro venisse chiesto un consenso, potrà essere revocato in qualsiasi momento senza pregiudicare la liceità del trattamento precedente. I diritti possono essere esercitati gratuitamente inviando una richiesta a work@karlkenalvarez.com; la risposta arriva senza ingiustificato ritardo e comunque entro un mese (art. 12 GDPR).

9. Diritto di reclamo

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento dei propri dati personali sia avvenuto in violazione della normativa vigente ha il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali, secondo le modalità indicate sul sito www.garanteprivacy.it.

10. Modifiche alla presente informativa

La presente informativa può essere aggiornata nel tempo. Eventuali modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento.

$ cat privacy-policy.md

Privacy Policy

Last updated: October 27, 2026

Information provided under art. 13 of Regulation (EU) 2016/679 ("GDPR") and the Italian Privacy Code (D.Lgs. 196/2003, as amended by D.Lgs. 101/2018) to visitors of this site and to anyone writing through the contact form.

1. Data Controller

The Data Controller for personal data collected through this site is Karlken Alvarez, a self-employed professional (libero professionista) based in Milan, Italy, VAT number: 13466330969. No Data Protection Officer (DPO) has been appointed, as none is required.

For any request regarding the processing of personal data, please contact the Controller at work@karlkenalvarez.com.

2. Data processed

2.1 Data voluntarily provided through the contact form

When using the "$ send-message" form in the Contact section, the data you enter is collected: name, email address, message text and, if provided, company, phone number and the service you are interested in. Together with the request, the site language, the date and time you confirmed reading this policy and, if present in the page address, the referring campaign parameters (utm_source, utm_medium, utm_campaign) are recorded.

This data is sent over an encrypted (HTTPS) connection to the CRM (Odoo) installed and run directly by the Controller on their own server in Italy (odoo.karlkenalvarez.com), through the reverse proxy described in section 2.2, and is stored as a contact request for the sole purpose of replying and, if requested, preparing a quote. When a request arrives, the Controller receives a notification on their phone via WhatsApp with the name, company, requested service, the email and phone number provided and an excerpt of the message. To limit automated submissions and abuse, a cryptographic fingerprint (hash) of the sender's IP address is stored, not the address itself.

This data is not used for marketing or newsletters, is not shared with third parties, and is not subject to profiling. The checkbox at the bottom of the form only confirms that you have read this policy: it is not a consent request, because the processing is based on your request itself (section 4). The form is optional: you can always write to work@karlkenalvarez.com instead.

2.2 Technical browsing data

The site is hosted on AWS (Amazon Web Services) infrastructure, via AWS Amplify Hosting and the CloudFront content delivery network. As with any hosting infrastructure, standard technical logs may be generated (e.g. IP address, user-agent, timestamp, requested page) for security, abuse-prevention, and technical operation purposes.

Requests to odoo.karlkenalvarez.com (contact form submissions) and to analytics.karlkenalvarez.com (statistics, section 2.3) go through a reverse proxy run by the Controller on a virtual server rented from RackNerd LLC, located in a data center in the United States. The proxy terminates the HTTPS connection and immediately forwards the request, through an encrypted tunnel, to the server in Italy: the content is only held in memory on the proxy while it is forwarded and is not stored. The proxy keeps technical logs (IP address, date and time, requested address, request outcome).

2.3 Anonymous visit statistics (Umami)

To know how many people visit the site and download the resume, the site usesUmami, an open-source analytics tool self-hosted by the Controller on their own server in Italy (analytics.karlkenalvarez.com), with no third parties (requests go through the proxy described in section 2.2). Umamidoes not use cookies and stores nothing on your device: it records the page visited, the referring site, device type, browser and operating system, language, approximate country/city (derived from the IP address, which isnot stored) and the resume download and contact-form submission events (language and chosen service, without any of the data entered in the form). Data is processed in aggregate form and does not identify individual visitors. When someone downloads the resume, the Controller receives a WhatsApp notification with these statistical data only (e.g. approximate city, device, referring site). If your browser sends a "Do Not Track" signal the visit is not counted; alternatively you can block the analytics.karlkenalvarez.com domain.

2.4 No other data collected

The site does not use sign-up forms, does not require account creation, and does not collect any personal data beyond what is listed above. The site is not aimed at children under 14, who must not send data through the contact form.

This site does not use any cookies — technical, analytics, or profiling. The only information saved on your device is the language you chose (Italian/English), kept in the browser's sessionStorage so it stays the same across pages and deleted automatically when the tab is closed: it is a technical tool, needed to provide the service you requested, and does not identify you. The Umami script only reads, without writing it, an optional local setting ("umami.disabled") that lets you opt out of the statistics. There is no Google Analytics, Google Tag Manager, tracking pixel, or profiling tool.

Since only technical tools are used, which do not require consent (art. 122(1) of the Italian Privacy Code and the Italian Garante Privacy's guidelines on cookies and other tracking tools of 10 June 2021), the site shows no consent banner. The only fonts and icons used (Font Awesome) are self-hosted on this domain and are not loaded from any CDN or third-party domain.

4. Purposes and legal bases

Handling contact requests and quotes: legal basis art. 6(1)(b) GDPR (pre-contractual measures taken at the data subject's request). Providing the data is optional, but without name, email and message it is not possible to reply.
Compliance with legal obligations (e.g. tax and accounting), only if a professional relationship follows the request: legal basis art. 6(1)(c) GDPR.
Preventing abuse of the form (IP fingerprint, submission limits):legal basis art. 6(1)(f) GDPR (legitimate interest in the security of the service).
Security and technical operation of the site and the proxy (technical logs): legal basis art. 6(1)(f) GDPR (legitimate interest in network and information security).
Anonymous visit statistics (Umami): legal basis art. 6(1)(f) GDPR (legitimate interest in understanding, in aggregate form, how the site is used).

No profiling or decision based solely on automated processing under art. 22 GDPR takes place.

5. Recipients and processors

Contact-form data is stored in the CRM installed and run directly by the Controller on their own server in Italy: no external provider has access to it. Otherwise the Controller relies on:

Amazon Web Services (AWS), for hosting and delivering the site's files (Amplify Hosting, CloudFront), acting as a data processor under art. 28 GDPR. Under the AWS Service Terms and as published on the AWS GDPR Center, the AWS Data Processing Addendum ("AWS DPA") is automatically incorporated into the contractual terms applicable to all AWS customers, with no separate signature required.
RackNerd LLC (United States), provider of the virtual server running the reverse proxy described in section 2.2: the Controller runs the server, the provider only supplies the infrastructure.
WhatsApp (WhatsApp Ireland Limited / Meta), only for the notifications to the Controller described in sections 2.1 and 2.3. Messages are end-to-end encrypted; Meta processes the messaging service's technical data under its own privacy policy.

Data is not sold, shared, or disclosed to third parties for purposes other than those described in this policy.

6. Transfers outside the EEA

Reverse proxy (RackNerd, United States): contact-form and statistics requests pass through the proxy described in section 2.2, where they are only held in memory while being forwarded; only technical logs are kept on the proxy (section 7.2). RackNerd is not covered by an adequacy decision: for form submissions the transfer is necessary to carry out pre-contractual measures requested by the data subject (art. 49(1)(b) GDPR), and all transits are protected by technical measures (HTTPS up to the proxy, encrypted tunnel to Italy, no storage of content, server administered only by the Controller). If you prefer to avoid this transit, you can write directly to work@karlkenalvarez.comand block the analytics.karlkenalvarez.com domain.
AWS (CloudFront): the content delivery network is global and may serve the site's static files from locations outside the EEA. These transfers rely on the European Commission's adequacy decision of 10 July 2023 (EU-U.S. Data Privacy Framework), in which Amazon participates, and on the Standard Contractual Clauses included in the AWS DPA.
WhatsApp (Meta): any transfer of technical data to Meta Platforms, Inc. in the United States relies on the same EU-U.S. Data Privacy Framework, in which Meta participates; message content is end-to-end encrypted.

7. Retention period

7.1 Requests received through the contact form

Requests received through the contact form (including the IP fingerprint and the related notification) are kept for a maximum of 24 months from receipt, unless a professional relationship follows (in which case the necessary data is kept for the duration of the relationship and for the period required by law, e.g. 10 years for tax records) or retention is required by other legal obligations or to protect the Controller's rights.

7.2 Technical logs

The reverse proxy's technical logs (section 2.2) are rotated automatically and normally deleted within about 30 days. Any logs of the AWS services (Amplify Hosting/CloudFront) are kept by AWS under its own policies for as long as needed for the security and operation of the service.

7.3 Visit statistics

Umami statistics, which do not identify visitors, are kept for a maximum of 24 months; the WhatsApp notifications about resume downloads follow the same period.

8. Data subject rights

Under arts. 15-22 GDPR, you have the right to request at any time:

access to your personal data;
rectification or completion of inaccurate or incomplete data;
erasure of your data, in the cases provided for by law;
restriction of processing;
data portability;
objection to processing based on legitimate interest (art. 6(1)(f)), on grounds relating to your particular situation (art. 21 GDPR).

No processing on this site is based on consent; should consent ever be requested, it can be withdrawn at any time without affecting the lawfulness of earlier processing. These rights can be exercised free of charge by sending a request to work@karlkenalvarez.com; you will receive a reply without undue delay and in any case within one month (art. 12 GDPR).

9. Right to lodge a complaint

Without prejudice to any other administrative or judicial remedy, if you believe that the processing of your personal data infringes applicable law, you have the right to lodge a complaint with the Italian Data Protection Authority (Garante per la Protezione dei Dati Personali), as described at www.garanteprivacy.it.

10. Changes to this policy

This policy may be updated over time. Any changes will be published on this page along with the date of the last update.

← Back to site ← Torna al sito