Privacy Policy

Informativa legale

Informativa Privacy

Informativa generale sul trattamento dei dati personali effettuato attraverso projectthinkinglab.it e nell’ambito delle attività professionali di Project Thinking Lab.

Ultimo aggiornamento: 14 luglio 2026

1. Ambito di applicazione

La presente informativa descrive come vengono trattati i dati personali nell’ambito del sito projectthinkinglab.it, dei relativi moduli e delle comunicazioni con Project Thinking Lab.

Si applica inoltre, nei limiti indicati, a richieste informative, attività precontrattuali, consulenza, assessment, survey, interviste, webinar, workshop, formazione, white paper, business case, testimonial, recensioni e pubblicazioni gestite direttamente dal Titolare.

Per iniziative con finalità, ruoli o modalità specifiche potrà essere fornita un’informativa dedicata, che integra o prevale sulla presente per gli aspetti particolari dell’attività.

2. Titolare del trattamento

Identità

Il Titolare del trattamento è Lorenzo Riccioli, persona fisica con riferimento in Modena (MO), Italia.

Project Thinking Lab è il nome identificativo del progetto e del brand professionale gestito dal Titolare e non costituisce, allo stato, una società o una persona giuridica distinta.

Contatti

Email: lorenzo@projectthinkinglab.it
Telefono: 351 487 9537
Indirizzo: Via Elia Rainusso n. 176, 41124 Modena (MO), Italia

Nelle attività realizzate per clienti, il ruolo di Lorenzo Riccioli/Project Thinking Lab può variare tra titolare autonomo, responsabile del trattamento per conto del cliente o, in casi specifici, contitolare. Il ruolo viene definito in base alle decisioni effettive su finalità e mezzi ed è disciplinato nel contratto, nel DPA o nell’informativa specifica.

3. Categorie di dati trattati

dati identificativi e di contatto, come nome, cognome, email e telefono;
dati professionali e organizzativi, come organizzazione, azienda, settore, ruolo, dimensione, sfide e obiettivi;
informazioni progettuali, economiche o organizzative comunicate volontariamente;
contenuti di messaggi, email, telefonate, chat WhatsApp e campi liberi;
risposte a survey, interviste e assessment, inclusi eventuali metadati;
dati relativi a webinar, white paper, business case, testimonial e recensioni;
dati di navigazione e sicurezza, come IP, data e ora, URL richiesto, browser, dispositivo, log ed eventi di sicurezza;
preferenze e prova delle scelte relative ai cookie gestite tramite la CMP.

Dati non richiesti: non inserire nei campi liberi categorie particolari di dati personali, dati giudiziari, credenziali, segreti commerciali o informazioni di terzi non necessarie. Qualora siano indispensabili per un incarico, devono essere concordati preventivamente canale, ruolo e misure.

Dati di navigazione

I sistemi informatici, il server, il CDN, i servizi di sicurezza e WordPress possono trattare dati tecnici necessari al funzionamento del sito, alla consegna delle pagine, alla protezione da abusi e alla diagnosi degli errori. Tali dati possono includere indirizzo IP, timestamp, URL richiesto, user agent, header, esito della richiesta e log di sicurezza.

Dati conferiti volontariamente

L’invio di email, la compilazione dei moduli, la telefonata o l’avvio di una conversazione WhatsApp comportano il trattamento dei recapiti e delle informazioni trasmesse, per rispondere, valutare la richiesta, organizzare un incontro, predisporre una proposta o gestire le attività richieste.

4. Moduli e canali di comunicazione

Modulo di contatto

Il modulo può raccogliere nome, email, azienda, ruolo, telefono e informazioni sulla sfida, sul settore o sull’obiettivo. I campi obbligatori sono necessari per comprendere e gestire la richiesta; quelli facoltativi aiutano a contestualizzarla.

Il modulo è gestito tramite WordPress e Contact Form 7. Le comunicazioni vengono inoltrate tramite WP Mail SMTP Lite by WPForms, configurato con il servizio di posta elettronica Aruba. In base alla configurazione attuale, Contact Form 7 non archivia i messaggi nel database WordPress e non è attiva la funzione di email logging di WP Mail SMTP.

Il modulo è protetto mediante Cloudflare Turnstile. Dati tecnici, log, localizzazioni, tempi di conservazione e trasferimenti connessi ai fornitori sono verificati in relazione alla configurazione effettiva.

Email e telefono

Le comunicazioni sono trattate per rispondere, concordare attività, gestire appuntamenti, offerte, incarichi e assistenza. I messaggi transitori vengono eliminati periodicamente; quelli necessari a documentare un rapporto o tutelare diritti possono essere conservati più a lungo in modo proporzionato.

WhatsApp e WhatsApp Business

Il sito utilizza il plugin Social Chat – Click To Chat App Button, sviluppato da QuadLayers, per consentire all’utente di avviare volontariamente una conversazione WhatsApp. Possono essere trattati numero di telefono, nome del profilo, immagine eventualmente visibile, messaggi, allegati, data e ora e altre informazioni fornite volontariamente.

Il widget agevola l’apertura della conversazione e non archivia il contenuto dei messaggi nel database WordPress. Dopo l’apertura di WhatsApp, il trattamento è effettuato anche dal gestore della piattaforma secondo le proprie condizioni e informative. Non utilizzare questo canale per dati particolari, documenti riservati o informazioni non necessarie.

5. Attività professionali, ricerca e pubblicazione

Richieste e precontratto

I dati sono trattati per valutare esigenze, organizzare call, redigere offerte e definire perimetro, tempi e condizioni delle attività richieste.

Consulenza e assessment

Possono essere trattate informazioni professionali, organizzative, progettuali ed economiche. Quando PTL opera per conto del cliente su sue istruzioni, il rapporto deve essere disciplinato ai sensi dell’art. 28 GDPR.

Survey e ricerca

Le survey possono essere anonime, pseudonimizzate o nominative. Informativa, ruoli, base giuridica, conservazione e modalità di pubblicazione vengono definiti nel protocollo o nell’informativa specifica.

Interviste e registrazioni

Audio o video non vengono registrati in modo implicito. Prima della registrazione vengono comunicati finalità, canali, utilizzi, destinatari e durata.

Webinar, workshop e formazione

Possono essere trattati recapiti, organizzazione, ruolo, presenza, interventi e chat. Registrazione e riuso richiedono informazione preventiva e una base giuridica adeguata.

White paper e materiali

I dati sono utilizzati per consegnare il materiale richiesto e gestire un eventuale follow-up pertinente. La richiesta non comporta automaticamente l’iscrizione a comunicazioni promozionali.

Business case e testimonial

I contenuti anonimizzati sono strutturati per evitare identificazioni ragionevoli. Nome, logo, risultati, citazioni o testimonianze identificabili sono pubblicati solo entro condizioni scritte e specifiche.

Insight e social

Articoli e insight possono contenere dati professionali, citazioni o risultati aggregati. I collegamenti social rimandano a piattaforme esterne che trattano i dati secondo le proprie informative.

6. Finalità e basi giuridiche

Finalità	Dati	Base giuridica	Garanzie principali
Funzionamento, sicurezza e prevenzione abusi	Dati tecnici, IP e log	Interesse legittimo, necessità tecnica e disciplina applicabile alle tecnologie	Minimizzazione, bilanciamento e conservazione limitata
Risposta a richieste e contatti	Identificativi, recapiti e contenuti	Art. 6(1)(b) GDPR e interesse legittimo per gestione e sicurezza	Nessun consenso separato richiesto per rispondere
Negoziazione ed esecuzione dei servizi	Dati professionali, contrattuali e progettuali	Art. 6(1)(b), 6(1)(c) e 6(1)(f) GDPR	Contratto e DPA definiscono ruolo e conservazione
Survey e ricerca	Risposte, profilo e metadati	Consenso, contratto, interesse legittimo o altra base adeguata secondo protocollo	Informativa specifica, anonimizzazione o pseudonimizzazione
Registrazioni, testimonial e pubblicazioni identificabili	Voce, immagine, nome, ruolo e citazioni	Consenso, accordo o interesse legittimo secondo il caso	Approvazione, durata e canali definiti
Gestione di diritti, reclami e incidenti	Richiesta ed evidenze	Obbligo legale e interesse legittimo alla tutela	Conservazione separata e accesso limitato
Marketing o newsletter futuri	Email e preferenze	Consenso, salvo limitate eccezioni da valutare	Servizio non attivo; consenso separato e revocabile

Natura del conferimento

I dati necessari a rispondere, predisporre un’offerta o erogare un servizio devono essere forniti nei limiti indicati. Il mancato conferimento può impedire di gestire la richiesta o il rapporto. I campi facoltativi possono essere omessi. Le scelte relative a cookie non necessari, newsletter, registrazioni facoltative o pubblicazioni identificabili non condizionano l’accesso alle funzioni essenziali.

7. Modalità, sicurezza e intelligenza artificiale

Il trattamento avviene con strumenti elettronici e, ove necessario, documenti, secondo procedure proporzionate al rischio. Le misure includono controllo degli accessi, credenziali individuali, autenticazione multifattore ove disponibile, aggiornamenti, firewall, backup, protezione dei dispositivi, minimizzazione, classificazione, segregazione dei materiali cliente e gestione degli incidenti.

Alla data della presente informativa, PTL non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o analogamente significativi. Strumenti di intelligenza artificiale possono essere utilizzati come supporto alla ricerca, redazione, analisi o organizzazione sotto controllo umano.

Dati personali, confidenziali o del cliente non devono essere inseriti in strumenti AI non previamente valutati e autorizzati. Quando l’uso dell’AI incide in modo rilevante sul servizio o sui dati forniti, trasparenza, fornitori, conservazione, trasferimenti e responsabilità vengono definiti nel contratto o nell’informativa specifica.

8. Destinatari, fornitori e trasferimenti

I dati possono essere trattati, nei limiti necessari, da fornitori di hosting, dominio, posta elettronica, WordPress e plugin, CDN e sicurezza, anti-bot, CMP/cookie banner, comunicazione e collaborazione. Possono inoltre essere comunicati a consulenti legali, fiscali o tecnici soggetti a riservatezza, autorità o soggetti legittimati quando richiesto dalla legge o necessario alla tutela di diritti.

Tra i servizi attualmente utilizzati figurano Aruba; WordPress; Contact Form 7; WP Mail SMTP Lite by WPForms; Cloudflare e Cloudflare Turnstile; Wordfence; Yoast SEO; The Post Grid; Iubenda; e Social Chat – Click To Chat App Button di QuadLayers.

L’indicazione di un software o sviluppatore non implica automaticamente che riceva dati personali o assuma il ruolo di responsabile. Il ruolo viene definito in base a funzioni effettive, flussi tecnici, contratti e istruzioni applicabili. L’elenco aggiornato dei responsabili eventualmente nominati può essere richiesto al Titolare.

Alcuni fornitori globali o sub-responsabili possono trattare dati o consentire accessi da Paesi fuori dallo Spazio Economico Europeo. I trasferimenti devono fondarsi su una decisione di adeguatezza, clausole contrattuali standard o altra condizione prevista dal Capo V GDPR e, quando necessario, su misure supplementari.

9. Conservazione dei dati

Categoria	Criterio indicativo
Richieste senza seguito	Di regola 12 mesi dalla chiusura, salvo necessità documentata.
Lead qualificati	Fino a 24 mesi dall’ultimo contatto sostanziale, con verifica di pertinenza.
Trattative e contratti	Per la durata del rapporto e per i periodi necessari agli obblighi e alla tutela dei diritti; documenti essenziali fino a 10 anni quando applicabile.
Dati fiscali e contabili	Per il periodo imposto dalla normativa applicabile.
Survey nominative o pseudonimizzate	Periodo indicato nell’informativa specifica, di regola 12-36 mesi.
Dataset anonimizzati	Conservazione più lunga se l’anonimizzazione è effettiva e irreversibile.
Business case e testimonial	Per la durata autorizzata o contrattualmente definita, con revisione almeno annuale.
Log tecnici	Di regola 7-90 giorni; log di sicurezza 6-12 mesi, salvo incidente.
Backup	Secondo il ciclo tecnico applicabile, con obiettivo iniziale 30-90 giorni e sovrascrittura.
Richieste di esercizio dei diritti	Di regola 5 anni dalla chiusura, salvo contenzioso.
Data breach	Periodo proporzionato agli obblighi e alla tutela, potenzialmente fino a 10 anni nei casi rilevanti.

I periodi possono essere estesi per obblighi di legge, accertamento, esercizio o difesa di un diritto, gestione di incidenti o richieste dell’autorità. Alla scadenza, i dati vengono cancellati, anonimizzati o resi non più attivamente disponibili, tenendo conto dei cicli di backup.

10. Anonimizzazione, minori e collegamenti esterni

Anonimizzazione e pseudonimizzazione

L’anonimizzazione viene considerata effettiva solo dopo una verifica ragionevole del rischio di individuazione, collegabilità e inferenza. La pseudonimizzazione è una misura di sicurezza e non elimina l’applicazione del GDPR.

Minori

Il sito e i servizi professionali non sono rivolti intenzionalmente a minori. Per eventuali attività formative o di ricerca che li coinvolgano saranno definite informativa dedicata, base giuridica, autorizzazioni e misure appropriate.

Collegamenti esterni e social button

Il sito può contenere collegamenti a siti, social network e piattaforme esterne. I semplici link, di regola, non trasmettono dati alla piattaforma finché l’utente non li seleziona. Il Titolare non controlla il trattamento effettuato dai servizi esterni dopo l’accesso dell’utente e invita a consultarne le informative.

11. Diritti degli interessati

Nei casi previsti, l’interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e informazioni sulle garanzie applicate ai trasferimenti. Quando il trattamento si basa sul consenso, questo può essere revocato in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.

Per esercitare i diritti è possibile scrivere a lorenzo@projectthinkinglab.it, indicando l’oggetto della richiesta e informazioni sufficienti per individuare i dati. Potrà essere richiesta una verifica dell’identità proporzionata al rischio.

Reclamo e tutela

L’interessato può proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo competente e può ricorrere alle altre forme di tutela previste dalla normativa. È possibile contattare preventivamente il Titolare, senza che ciò limiti i diritti dell’interessato.