GDPR

1. Quadro normativo e finalità

Il Regolamento generale sulla protezione dei dati (GDPR), applicabile dal 25 maggio 2018, costituisce il principale riferimento europeo per la tutela delle informazioni personali.

La normativa disciplina la trasparenza, la liceità del trattamento, le responsabilità dei soggetti coinvolti, la sicurezza dei dati e i diritti delle persone interessate.

La presente pagina illustra i principi GDPR rilevanti per le attività commerciali svolte attraverso il sito.

2. Applicabilità del regolamento

Il GDPR riguarda i trattamenti di dati personali effettuati nell'ambito delle attività di stabilimenti situati nell'Unione europea.

In determinate circostanze si applica anche a soggetti stabiliti fuori dall'UE, quando offrono beni o servizi a persone che si trovano nell'Unione, inclusa l'Italia, oppure ne monitorano il comportamento all'interno del territorio europeo.

I trattamenti svolti esclusivamente per attività personali o domestiche sono generalmente esclusi dal relativo ambito di applicazione.

In Italia, la vigilanza è esercitata dall'autorità competente per la protezione dei dati personali.

3. Principi fondamentali del trattamento

Le attività che coinvolgono informazioni personali devono rispettare i principi previsti dal GDPR.

  • Liceità, correttezza e trasparenza: ogni trattamento richiede un fondamento giuridico appropriato e informazioni comprensibili per l'interessato.

  • Limitazione delle finalità: i dati vengono raccolti per scopi determinati e non devono essere successivamente utilizzati in modo incompatibile con tali scopi.

  • Minimizzazione: le informazioni trattate devono essere pertinenti e limitate a quanto necessario per acquisti, pagamenti, consegne, assistenza, comunicazioni e obblighi applicabili.

  • Esattezza: devono essere adottate misure ragionevoli per correggere o aggiornare i dati inesatti.

  • Limitazione della conservazione: la durata del trattamento deve essere proporzionata alle finalità e agli obblighi normativi. Quando appropriato, i dati possono essere cancellati, anonimizzati o sottoposti a limitazioni.

  • Integrità e riservatezza: misure tecniche e organizzative adeguate devono contribuire a ridurre i rischi di perdita, accesso illecito, divulgazione o utilizzo improprio.

  • Responsabilizzazione: il titolare del trattamento deve poter dimostrare il rispetto dei principi applicabili.

4. Fondamenti giuridici utilizzabili

Le basi giuridiche dipendono dalle finalità e dalle caratteristiche delle singole operazioni.

4.1 Esecuzione contrattuale

Può riguardare la creazione e gestione degli ordini, la verifica dei pagamenti, le spedizioni, i resi, i rimborsi e l'assistenza collegata agli acquisti.

4.2 Obblighi di legge

Può giustificare il trattamento e la conservazione di documentazione fiscale, contabile, commerciale e di informazioni richieste dalle autorità competenti.

4.3 Legittimo interesse

Può essere applicabile alla sicurezza del sito, alla prevenzione delle frodi, al rilevamento di accessi anomali e alla continuità dei servizi, previa valutazione degli interessi e dei diritti coinvolti.

4.4 Consenso

Quando richiesto, costituisce la base per determinate attività di analisi non necessarie, memorizzazione delle preferenze, cookie pubblicitari e trattamenti connessi al marketing.

La base giuridica effettiva viene individuata in relazione alla specifica attività di trattamento.

5. Ruoli e responsabilità

Titolare del trattamento

  • È il soggetto che determina le finalità e i mezzi essenziali del trattamento dei dati personali.

  • Per le attività nelle quali stabilisce tali elementi, il sito opera in qualità di titolare, salvo diversa indicazione.

Responsabile del trattamento

  • È il soggetto che tratta informazioni personali per conto del titolare, secondo le istruzioni legittime ricevute e gli accordi applicabili.

  • I fornitori esterni possono assumere ruoli differenti in funzione dei servizi prestati e delle effettive responsabilità.

6. Diritti delle persone interessate

Il GDPR riconosce, alle condizioni previste dalla normativa, i seguenti diritti:

  • Accesso: conoscere le modalità di trattamento e ottenere le informazioni e i dati pertinenti.

  • Rettifica: richiedere la correzione o l'integrazione di informazioni inesatte o incomplete.

  • Cancellazione: ottenere l'eliminazione dei dati nei casi previsti dalla legge.

  • Limitazione: richiedere restrizioni a specifiche operazioni di trattamento.

  • Portabilità: ricevere i dati applicabili in formato strutturato, di uso comune e leggibile da dispositivo automatico.

  • Opposizione: contestare determinati trattamenti, compresi quelli basati sul legittimo interesse, secondo i presupposti normativi.

  • Revoca del consenso: ritirare un'autorizzazione precedentemente concessa.

La revoca non compromette la liceità delle operazioni effettuate sulla base del consenso prima del suo ritiro.

L'esercizio dei diritti può essere soggetto a condizioni, eccezioni e limitazioni previste dalla normativa.

I servizi del sito non sono destinati a persone di età inferiore a 18 anni.

7. Sicurezza e gestione delle richieste

Le misure di protezione possono variare secondo la natura dei dati, le tecnologie utilizzate e i rischi del trattamento.

Possono comprendere protezione delle trasmissioni, controlli degli accessi, gestione delle autorizzazioni, registrazione degli eventi, monitoraggio dei sistemi, aggiornamenti di sicurezza e procedure interne.

Le misure adottate possono essere riviste in relazione all'evoluzione dei rischi e delle attività.

Per esaminare una richiesta relativa ai dati personali possono essere necessarie informazioni aggiuntive finalizzate alla verifica dell'identità o del collegamento con i dati interessati.

8. Violazioni dei dati personali

In presenza di un incidente di sicurezza possono essere effettuate verifiche tecniche, valutazioni dei rischi, limitazioni degli accessi e interventi correttivi.

Quando ricorrono i presupposti previsti dal GDPR, la violazione deve essere notificata all'autorità di controllo competente secondo i termini applicabili.

Se l'incidente presenta un rischio elevato per i diritti e le libertà delle persone, può essere necessaria anche una comunicazione agli interessati.

In funzione della natura, delle dimensioni e dei rischi delle attività svolte, possono inoltre essere richiesti registri dei trattamenti, valutazioni d'impatto sulla protezione dei dati o ulteriori misure previste dalla normativa.

9. Trasferimenti internazionali

L'utilizzo di infrastrutture o fornitori situati fuori dallo Spazio economico europeo può comportare trasferimenti internazionali di dati personali.

Tali operazioni sono soggette alle condizioni stabilite dal GDPR.

I meccanismi applicabili possono comprendere:

  • Decisioni di adeguatezza della Commissione europea.

  • Clausole contrattuali standard (SCC).

  • Altri strumenti di trasferimento ammessi dalla normativa.

In relazione al Paese di destinazione, alla tipologia dei dati e ai rischi, possono essere necessarie misure supplementari, quali cifratura o restrizioni degli accessi.

Le modalità effettive dipendono dai servizi utilizzati e dalle operazioni di trattamento.

10. Cookie e strumenti pubblicitari

Il sito può utilizzare cookie e tecnologie analoghe per le funzionalità essenziali, la memorizzazione delle preferenze, l'analisi delle prestazioni e le attività pubblicitarie.

Quando la legge richiede il consenso, i cookie non necessari e i relativi trattamenti vengono attivati soltanto dopo l'autorizzazione valida dell'utente.

Le preferenze possono essere modificate o revocate attraverso gli strumenti di gestione disponibili.

Per determinati servizi Google destinati agli utenti dello Spazio economico europeo, possono applicarsi requisiti aggiuntivi relativi alla raccolta del consenso e alla trasmissione dei relativi segnali.

Riferimenti informativi:

  • Informativa sui Cookie

  • Impostazioni cookie

  • Norme sulla privacy di Google

  • Norme relative al consenso degli utenti dell'UE di Google

11. GDPR e attività di commercio elettronico

Nel commercio online, la protezione dei dati può riguardare registrazione degli account, ordini, pagamenti, spedizioni, assistenza, sicurezza informatica, analisi delle visite e pubblicità digitale.

La trasparenza richiede informazioni adeguate sulle finalità, sulle basi giuridiche, sui tempi di conservazione e sui diritti degli interessati.

Le attività svolte devono inoltre essere considerate in relazione alle regole applicabili dei servizi esterni, inclusi Google Merchant Center e Google Ads.

I requisiti delle piattaforme e quelli del GDPR costituiscono sistemi distinti: la conformità agli uni non implica automaticamente il rispetto degli altri.

12. Autorità di controllo e reclami

In Italia, il Garante per la protezione dei dati personali esercita le funzioni di controllo previste dalla normativa.

In presenza di violazioni, le misure applicabili possono comprendere richieste di adeguamento, limitazioni o divieti di trattamento e sanzioni amministrative.

La valutazione dipende dalla natura, dalla gravità, dalla durata e dalle altre circostanze rilevanti.

Chi ritiene che il trattamento dei propri dati non rispetti la normativa può presentare reclamo al Garante o a un'altra autorità di controllo competente, oltre a utilizzare gli ulteriori rimedi previsti dalla legge.

13. Contatti per richieste GDPR

Per informazioni sul trattamento dei dati personali o per esercitare i diritti applicabili è possibile utilizzare il seguente recapito:

Le richieste vengono valutate considerando il loro contenuto, le eventuali verifiche di identità e gli obblighi previsti dalla normativa.

È inoltre possibile rivolgersi all'autorità di controllo competente per eventuali reclami.

14. Informazioni complementari

La presente pagina fornisce una panoramica generale delle disposizioni GDPR applicabili alle attività del sito.

Per i trattamenti dei quali determina finalità e mezzi, il sito opera come titolare del trattamento, salvo diversa indicazione.

Le informazioni specifiche sulle categorie di dati raccolti, sulle finalità, sulle basi giuridiche, sui tempi di conservazione, sui fornitori esterni e sui trasferimenti internazionali sono riportate nell'Informativa sulla Privacy, nell'Informativa sui Cookie e nelle informazioni relative alle effettive attività di trattamento.