Privacy Policy

1. Titolare del trattamento e contatti

Il titolare del trattamento è Federica Costan, titolare dell’impresa individuale in regime forfettario che opera con il nome “Minerali di Luce”, con sede legale in Via Lanzo 189, 10070 Ciriè (TO), Italia, Partita IVA 13172230016.

Per domande sul trattamento dei dati o per esercitare i diritti descritti in questa informativa è possibile contattare il titolare all’indirizzo federicacostan23@gmail.com.

2. Dati trattati, finalità e basi giuridiche

• Richieste inviate tramite il modulo contatti. Il modulo raccoglie nome, indirizzo email e contenuto del messaggio; i tre campi sono obbligatori. I dati sono usati per ricevere, leggere e rispondere alla richiesta e, se pertinente, per fornire informazioni su prodotti o richieste di personalizzazione. La base giuridica è l’esecuzione di misure precontrattuali richieste dall’interessato (art. 6, par. 1, lett. b GDPR) quando la richiesta è diretta a valutare un acquisto o un servizio. Per richieste generiche non precontrattuali, la base è il legittimo interesse del titolare a rispondere a chi lo contatta (art. 6, par. 1, lett. f GDPR), previa valutazione del bilanciamento con i diritti e le libertà dell’interessato.
• Contatti via email, WhatsApp o Instagram. Se la persona sceglie questi canali, vengono trattati i dati e i contenuti che decide di comunicare, nonché i dati associati al relativo account. Il trattamento serve a gestire la conversazione e la richiesta. La base giuridica dipende dalla natura della richiesta: misure precontrattuali (art. 6, par. 1, lett. b GDPR) se diretta a un possibile acquisto, oppure legittimo interesse a rispondere (art. 6, par. 1, lett. f GDPR) per richieste generiche. WhatsApp e Instagram sono servizi gestiti da terzi: dopo averli aperti o contattati, si applicano anche le informative e le condizioni dei rispettivi fornitori, che possono trattare i dati per finalità proprie.
• Dati tecnici di navigazione e sicurezza. I sistemi che ospitano il sito e i servizi di terzi che il sito utilizza possono trattare dati tecnici trasmessi durante la connessione, ad esempio indirizzo IP, data e ora della richiesta, risorsa richiesta, informazioni sul browser e codici di risposta, per erogare il sito, prevenire abusi e proteggere i sistemi. La base giuridica è il legittimo interesse del titolare alla sicurezza e alla disponibilità del sito (art. 6, par. 1, lett. f GDPR), previa valutazione del bilanciamento.
• Obblighi di legge e gestione di eventuali rapporti contrattuali. Se da una richiesta deriva un acquisto o un altro rapporto, i dati necessari possono essere trattati per adempiere obblighi legali, fiscali e contabili e per gestire il rapporto. La base giuridica è l’adempimento di un obbligo legale (art. 6, par. 1, lett. c GDPR) e, ove pertinente, l’esecuzione del contratto (lett. b). I relativi dati e periodi di conservazione dipendono dal rapporto effettivamente instaurato.

Il sito non prevede l’invio di newsletter, pubblicità o profilazione. Non inserire nel messaggio dati particolari (ad esempio dati relativi alla salute) o informazioni non necessarie alla richiesta.

3. Natura del conferimento

Il conferimento di nome, email e messaggio nel modulo è necessario per inviare una richiesta tramite quel modulo; in mancanza, il titolare non potrà riceverla e rispondere attraverso tale canale. È possibile scegliere di contattare l’attività tramite uno degli altri recapiti pubblicati, tenendo presente che WhatsApp e Instagram sono servizi di terzi. Il conferimento di dati per eventuali obblighi di legge o rapporti contrattuali è necessario nella misura richiesta dalla normativa applicabile.

4. Provenienza dei dati

I dati inseriti nel modulo o comunicati tramite i recapiti sono forniti direttamente dall’interessato. I dati tecnici di navigazione sono generati automaticamente dai sistemi e dai servizi utilizzati per collegarsi al sito.

5. Tempi di conservazione

I dati operativi relativi a un ordine sono conservati fino a 30 giorni dalla ricezione del pacco da parte del cliente, quindi cancellati o resi anonimi, salvo che debbano essere mantenuti più a lungo per obblighi di legge, gestione di contestazioni o tutela di un diritto. Le copie di questi dati presenti nei servizi utilizzati per gestire l’ordine seguono il medesimo termine.

Le richieste che non si traducono in un ordine e le relative comunicazioni sono conservate fino a 45 giorni dalla chiusura della richiesta, quindi cancellate o rese anonime, salvo che debbano essere mantenute più a lungo per obblighi di legge o tutela di un diritto.

I documenti fiscali e contabili e gli altri dati necessari ad adempiere obblighi di legge non sono cancellati allo scadere dei termini sopra indicati: sono conservati per il periodo previsto dalla normativa applicabile.

I log tecnici dei fornitori sono conservati secondo i termini dei rispettivi servizi. Le copie di backup seguono cicli di cancellazione propri, coerenti con i termini sopra indicati.

Le richieste ricevute tramite il modulo sono salvate nella sezione Netlify Forms del sito e arrivano per email. La cancellazione alla scadenza dei termini è eseguita manualmente dal titolare, sia in Netlify Forms sia nella casella email.

6. Destinatari e soggetti che trattano i dati

I dati possono essere accessibili, per quanto necessario alle rispettive funzioni, al titolare e a persone autorizzate che lo assistono nella gestione del sito o delle richieste. In base ai canali effettivamente utilizzati, i dati possono essere trattati dai seguenti soggetti:

• Netlify, Inc.: fornisce l’hosting del sito, Netlify Forms per il modulo di contatto e Netlify Identity per l’accesso all’area amministrativa. Agisce come responsabile del trattamento ai sensi dell’art. 28 GDPR. L’elenco dei sub-responsabili e dei Paesi di trattamento è disponibile sul sito di Netlify; l’informativa è disponibile su netlify.com/privacy.
• Google (servizio Gmail): la casella dedicata alle comunicazioni è usata per ricevere e gestire le email e le risposte. Le richieste ricevute tramite il modulo possono essere inoltrate o copiate nella casella quando il titolare risponde. Google tratta i dati secondo la propria informativa privacy.
• WhatsApp e Instagram (Meta): se l’interessato sceglie di contattare l’attività tramite questi canali, Meta tratta i dati e i contenuti della comunicazione secondo i propri termini e la propria informativa privacy, per finalità proprie. Il titolare riceve i dati necessari a rispondere attraverso il servizio.
• Servizi di distribuzione delle librerie (CDN): il sito carica Alpine.js tramite jsDelivr; l’area amministrativa carica Decap CMS tramite unpkg e il widget Netlify Identity. Al caricamento di questi file il browser invia al fornitore l’indirizzo IP e i dati tecnici standard della richiesta. Le informative di riferimento sono quelle di jsDelivr.

7. Trasferimenti fuori dallo Spazio economico europeo

Netlify, Inc. ha sede negli Stati Uniti. Per i trasferimenti verso Netlify, Netlify dichiara di aderire all’EU-U.S. Data Privacy Framework; in subordine, si applicano le clausole contrattuali standard approvate dalla Commissione europea. Alcuni sub-responsabili di Netlify possono trattare dati in altri Paesi: l’elenco aggiornato è indicato nel link della sezione 6.

Per Google e Meta, i trasferimenti fuori dallo SEE sono regolati dalle rispettive informative e dalle garanzie da essi adottate. Per ulteriori informazioni è possibile contattare il titolare.

8. Diritti dell’interessato

Nei casi previsti dal GDPR, l’interessato può chiedere al titolare accesso ai propri dati, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e può opporsi ai trattamenti basati sul legittimo interesse. Può inoltre revocare in qualsiasi momento un eventuale consenso, senza pregiudicare la liceità del trattamento svolto prima della revoca. Per esercitare i diritti è possibile scrivere a federicacostan23@gmail.com. Il titolare risponderà nei termini previsti dalla normativa e potrà chiedere informazioni ragionevoli per verificare l’identità del richiedente.

Resta fermo il diritto di proporre reclamo all’autorità di controllo competente. In Italia: Garante per la protezione dei dati personali.

9. Decisioni automatizzate

Il sito non effettua processi decisionali automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogo significativamente sull’interessato.