Informativa GDPR

1. INTRODUZIONE E AMBITO DI APPLICAZIONE

Il presente documento descrive le modalità con cui vengono raccolti, utilizzati, conservati e protetti i dati personali degli utenti durante l'utilizzo del sito e dei relativi servizi.

Il trattamento dei dati personali viene effettuato nel rispetto del Regolamento (UE) 2016/679 (GDPR), del Decreto Legislativo 30 giugno 2003 n. 196, come modificato dal Decreto Legislativo 101/2018, e delle altre disposizioni applicabili in materia di protezione dei dati personali.

Le presenti disposizioni si applicano agli utenti che utilizzano il sito o acquistano i servizi e i prodotti messi a disposizione per il mercato italiano.

Il presente documento ha lo scopo di spiegare:

quali categorie di dati personali possono essere raccolte;
per quali finalità possono essere utilizzate;
su quali basi giuridiche vengono trattate;
quali diritti spettano agli interessati.

2. PRINCIPI DEL TRATTAMENTO DEI DATI

I dati personali vengono trattati secondo i principi previsti dall'articolo 5 del GDPR, tra cui:

liceità, correttezza e trasparenza;
limitazione delle finalità;
minimizzazione dei dati;
esattezza e aggiornamento dei dati, ove necessario;
limitazione della conservazione;
integrità e riservatezza;
responsabilizzazione del titolare del trattamento.

I dati vengono raccolti e utilizzati esclusivamente nella misura necessaria rispetto alle finalità per cui vengono trattati.

3. BASI GIURIDICHE DEL TRATTAMENTO

Il trattamento dei dati personali può essere effettuato sulla base di una o più delle condizioni previste dall'articolo 6 del GDPR.

In particolare:

articolo 6, paragrafo 1, lettera b) GDPR — quando il trattamento è necessario per l'esecuzione di un contratto o per attività precontrattuali richieste dall'utente, ad esempio per la gestione dell'ordine, del pagamento, della spedizione e dell'assistenza relativa all'acquisto;
articolo 6, paragrafo 1, lettera a) GDPR — quando l'utente ha espresso il proprio consenso per una finalità specifica;
articolo 6, paragrafo 1, lettera c) GDPR — quando il trattamento è necessario per adempiere a un obbligo di legge;
articolo 6, paragrafo 1, lettera f) GDPR — quando il trattamento è necessario per perseguire un legittimo interesse, ad esempio per garantire la sicurezza del sito, prevenire le frodi o proteggere i sistemi informatici, purché tale interesse non prevalga sui diritti e sulle libertà dell'interessato.

Quando il trattamento si basa sul consenso, l'utente può revocarlo in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca.

4. DIRITTI DELL'INTERESSATO

Nei casi e nei limiti previsti dagli articoli 15–22 del GDPR, l'interessato può esercitare i seguenti diritti:

diritto di accesso ai propri dati personali;
diritto di rettifica dei dati inesatti o incompleti;
diritto alla cancellazione dei dati, quando ne ricorrono le condizioni;
diritto alla limitazione del trattamento;
diritto di opposizione al trattamento;
diritto alla portabilità dei dati, ove applicabile;
diritto di revocare il consenso in qualsiasi momento, quando il trattamento si basa sul consenso.

Per proteggere i dati personali e prevenire richieste non autorizzate, può essere necessario verificare l'identità del richiedente prima di dare seguito alla richiesta.

5. DURATA DELLA CONSERVAZIONE E SICUREZZA DEI DATI

I dati personali vengono conservati per il periodo necessario al raggiungimento delle finalità per cui sono stati raccolti e, successivamente, per il periodo eventualmente richiesto dalla normativa applicabile.

In particolare:

i dati relativi agli ordini, ai pagamenti, alle fatture e agli adempimenti amministrativi o contabili possono essere conservati per i periodi previsti dalla normativa fiscale, contabile e civilistica applicabile;
ove pertinente, determinati documenti contabili e fatture possono essere conservati fino a 10 anni;
i dati trattati sulla base del consenso vengono conservati fino alla revoca del consenso o fino a quando risultano necessari per la finalità dichiarata, salvo eventuali ulteriori obblighi di conservazione previsti dalla legge;
i dati possono essere conservati più a lungo quando ciò sia necessario per adempiere a un obbligo legale o per accertare, esercitare o difendere un diritto.

Per proteggere i dati personali vengono adottate misure tecniche e organizzative adeguate al rischio, che possono includere:

protezione delle trasmissioni di dati;
limitazione e gestione degli accessi ai sistemi;
sistemi di backup e ripristino, ove appropriati;
controlli e aggiornamenti delle misure di sicurezza.

Le misure di sicurezza vengono adottate secondo i principi previsti dall'articolo 32 del GDPR.

6. COMUNICAZIONE DEI DATI E TRASFERIMENTI AL DI FUORI DELLO SPAZIO ECONOMICO EUROPEO

I dati personali possono essere comunicati, nella misura necessaria alle rispettive attività, a soggetti che supportano il funzionamento del sito e la gestione degli ordini, quali:

prestatori di servizi di pagamento;
operatori logistici e corrieri;
fornitori di servizi informatici;
fornitori di hosting e infrastrutture tecniche;
consulenti o altri soggetti, quando necessario per adempiere a obblighi legali o contrattuali.

Tali soggetti possono trattare i dati, a seconda dei casi, in qualità di responsabili del trattamento ai sensi dell'articolo 28 del GDPR oppure come autonomi titolari del trattamento.

Qualora i dati personali vengano trasferiti verso Paesi situati al di fuori dello Spazio Economico Europeo, il trasferimento viene effettuato utilizzando, ove necessario, uno dei meccanismi previsti dal Capo V del GDPR, quali:

decisioni di adeguatezza della Commissione europea;
clausole contrattuali standard approvate dalla Commissione europea;
altre garanzie riconosciute dalla normativa applicabile.

7. ORGANIZZAZIONE DEL TRATTAMENTO

Il trattamento dei dati personali viene organizzato mediante procedure tecniche e interne finalizzate, in particolare, a:

limitare l'accesso ai dati alle sole persone autorizzate;
utilizzare i dati esclusivamente per finalità determinate e legittime;
proteggere i dati da accessi non autorizzati, perdita, alterazione o divulgazione indebita;
mantenere un livello di sicurezza adeguato al rischio del trattamento.

Le persone autorizzate al trattamento operano secondo le istruzioni e le procedure applicabili.

8. RECLAMI E AUTORITÀ DI CONTROLLO

L'interessato ha il diritto di proporre reclamo a un'autorità di controllo competente qualora ritenga che il trattamento dei propri dati personali violi la normativa applicabile.

In Italia, l'autorità competente è il Garante per la Protezione dei Dati Personali.

Il diritto di presentare reclamo è previsto dall'articolo 77 del GDPR e non pregiudica eventuali altri rimedi amministrativi o giudiziari disponibili.