Privacy Policy — informativa ex artt. 13 e 14 GDPR

Indice

1. Titolare del trattamento e contatti

2. Tipologie di dati trattati

3. Finalità e basi giuridiche del trattamento

4. Conferimento dei dati e conseguenze del rifiuto

5. Modalità del trattamento e misure di sicurezza

6. Periodo di conservazione

7. Destinatari e categorie di destinatari

8. Trasferimenti di dati extra-UE

9. Diritti dell’Interessato

10. Processi decisionali automatizzati e profilazione

11. Data breach

12. Modifiche dell’informativa

13. Clausole specifiche

1. Titolare del trattamento e contatti

1.1 Titolare del trattamento è [Nome legale titolare], ditta individuale, P.IVA [Partita IVA], con sede in [Indirizzo sede] (di seguito, “Titolare” o “Smoves”).

1.2 Email di contatto per esercizio dei diritti e questioni privacy: [Email assistenza].

1.3 Il Titolare non ha designato un Responsabile della Protezione dei Dati (DPO), non ricorrendo i requisiti dell’art. 37 GDPR (assenza di trattamenti su larga scala di categorie particolari di dati, di monitoraggio sistematico e attività di pubblica autorità). La nomina potrà essere effettuata in caso di mutamento delle condizioni operative.

2. Tipologie di dati trattati

2.1 Smoves tratta, anche tramite strumenti automatizzati, le seguenti categorie di dati personali:

dati identificativi e di contatto: nome, cognome, indirizzo email, numero di telefono, dati di eventuali delegati o referenti;

dati logistici e operativi relativi al Servizio: indirizzi di ritiro, deposito e riconsegna, coordinate geografiche, orari, istruzioni operative, note inserite dall’Interessato;

dati amministrativi, fiscali e di fatturazione: codice fiscale, partita IVA, indirizzo di fatturazione e ulteriori dati richiesti dalla normativa applicabile;

dati di pagamento e antifrode: metadati relativi alle transazioni, identificativi pagamento, esito delle operazioni, informazioni antifrode e verifica rischio fornite dai payment provider;

dati relativi ai colli e agli oggetti depositati: fotografie, video, registrazioni dello stato esterno del collo e dell’imballaggio, descrizione del contenuto, valore dichiarato, eventuali anomalie riscontrate;

dati relativi all’utilizzo del Servizio: cronologia prenotazioni, interazioni con il servizio clienti, ticket, reclami, feedback e comunicazioni;

dati tecnici e di navigazione: indirizzo IP, device ID, browser, sistema operativo, lingua, data e ora di accesso, log applicativi e telemetrici;

dati derivanti da verifiche di sicurezza, prevenzione frodi, gestione del rischio operativo e tutela giudiziaria.

2.2 Smoves non richiede e non tratta intenzionalmente categorie particolari di dati personali (art. 9 GDPR). L’Interessato è invitato a non inserire tali dati in comunicazioni non necessarie.

2.3 Smoves si riserva il diritto di effettuare verifiche sulla correttezza, completezza e coerenza dei dati forniti dall’Interessato, anche tramite controlli automatizzati, ove necessari per finalità di sicurezza, prevenzione frodi, gestione del rischio operativo, tutela del patrimonio aziendale o prevenzione di utilizzi abusivi del Servizio.

3. Finalità e basi giuridiche del trattamento

3.1 I dati personali sono trattati per le seguenti finalità:

esecuzione del contratto e gestione operativa del Servizio;

verifica dell’identità dell’Interessato e prevenzione di utilizzi fraudolenti, abusivi o contrari ai Termini di Servizio;

tutela dei diritti, della sicurezza e del patrimonio del Titolare, dei partner logistici e di terzi;

gestione di contestazioni, recupero crediti, contenziosi e attività stragiudiziali o giudiziali;

monitoraggio della qualità del Servizio, sviluppo commerciale, analisi statistiche, miglioramento dei processi interni e ottimizzazione operativa;

prevenzione di comportamenti illeciti, danneggiamenti, furti, smarrimenti o utilizzi impropri del Servizio;

adempimento di obblighi previsti da normative nazionali ed europee;

invio di comunicazioni commerciali, informative e promozionali relative a servizi analoghi a quelli già acquistati dall’Interessato, ai sensi dell’art. 130, comma 4, D.lgs. 196/2003 (“soft spam”), salvo opposizione;

invio di comunicazioni marketing e newsletter previo consenso, ove richiesto;

gestione di operazioni societarie straordinarie, due diligence, cessione di azienda, rami d’azienda o asset.

3.2 Il trattamento basato sul legittimo interesse del Titolare comprende, a titolo esemplificativo e non esaustivo:

prevenzione frodi;

sicurezza fisica e informatica;

difesa in giudizio;

conservazione probatoria di dati e documentazione;

controllo qualità;

prevenzione di abusi contrattuali;

audit interni;

esercizio dei diritti del Titolare;

continuità operativa e business continuity.

4. Conferimento dei dati e conseguenze del rifiuto

4.1 Il conferimento dei dati necessari all’esecuzione del contratto e all’adempimento di obblighi di legge è obbligatorio: il rifiuto comporta l’impossibilità di concludere il contratto o di eseguire il Servizio.

4.2 Il conferimento dei dati per finalità promozionali e per cookie non tecnici è facoltativo. Il rifiuto non incide sulla fruizione del Servizio.

5. Modalità del trattamento e misure di sicurezza

5.1 Il trattamento avviene con strumenti elettronici e, ove necessario, cartacei, con logiche correlate alle finalità.

5.2 Smoves adotta misure tecniche e organizzative adeguate, in conformità all’art. 32 GDPR, per garantire la riservatezza, l’integrità e la disponibilità dei dati (controllo accessi, autenticazione, cifratura in transito, backup periodici, formazione interna).

5.3 L’accesso ai dati è limitato al Titolare e ai soggetti autorizzati, istruiti in conformità all’art. 29 GDPR.

5.4 Smoves potrà utilizzare strumenti automatizzati di monitoraggio, logging, tracciamento e analisi degli accessi e delle operazioni effettuate sui sistemi aziendali, ove necessario per finalità di sicurezza, prevenzione frodi, troubleshooting tecnico, audit, tutela giudiziaria e continuità del Servizio.

5.5 Le comunicazioni con il servizio clienti e con gli operatori incaricati potranno essere registrate, archiviate e analizzate per finalità di qualità del servizio, formazione interna, sicurezza, gestione reclami, prevenzione frodi e tutela del Titolare.

6. Periodo di conservazione

6.1 I dati personali sono conservati per il tempo necessario al perseguimento delle finalità indicate nella presente informativa e, comunque, nei limiti consentiti dalla normativa applicabile. In particolare:

dati contrattuali, amministrativi e fiscali: fino a 10 anni dalla cessazione del rapporto;

log tecnici, dati di sicurezza, sistemi antifrode e registrazioni operative: fino a 24 mesi, salvo ulteriore conservazione necessaria per esigenze di sicurezza o tutela giudiziaria;

fotografie, video, immagini dei colli e documentazione operativa: fino a 24 mesi dalla conclusione del Servizio;

documentazione relativa a reclami, contestazioni, sinistri o controversie: fino a 10 anni dalla definitiva chiusura della controversia;

dati utilizzati per finalità di marketing: fino a revoca del consenso e comunque per un periodo massimo di 48 mesi;

dati relativi a verifiche antifrode, sicurezza e utilizzi anomali: fino a 10 anni nei casi di necessità difensiva o investigativa.

6.2 Al termine del periodo di conservazione, i dati sono cancellati o resi anonimi, salvo obblighi di legge ulteriori.

6.3 Il Titolare potrà conservare i dati per un periodo ulteriore rispetto a quanto sopra indicato ove necessario:

per adempiere a obblighi normativi;

per esercitare o difendere un diritto in sede giudiziaria;

per richieste delle Autorità competenti;

in presenza di contenziosi, indagini o accertamenti.

7. Destinatari e categorie di destinatari

7.1 I dati possono essere comunicati alle seguenti categorie di destinatari:

Stripe Payments Europe Ltd e Stripe, Inc. per la gestione dei pagamenti, in qualità di responsabile per le attività di trattamento svolte per conto di Smoves e di titolare autonomo per gli adempimenti di legge proprio;

fornitori di servizi informatici: hosting del sito, CRM, strumenti di gestione delle prenotazioni, email transazionali, nominati responsabili ex art. 28 GDPR;

fornitori di servizi di analytics, in forma anonimizzata o pseudonimizzata (vedere Cookie Policy);

consulenti professionali: commercialista, consulente del lavoro, legale, nominati responsabili ove ricorrano i presupposti, ovvero titolari autonomi nei limiti previsti dal Codice Deontologico;

soggetti autorizzati alla detenzione dei locali di deposito, limitatamente ai dati necessari per la gestione operativa;

Autorità competenti in caso di obblighi di legge.

7.2 L’elenco aggiornato dei responsabili del trattamento ex art. 28 GDPR è disponibile su richiesta scritta a [Email assistenza].

7.3 I dati personali potranno essere comunicati o messi a disposizione di società controllanti, controllate, collegate, partner commerciali, consulenti, fornitori tecnologici, soggetti coinvolti in operazioni straordinarie o altri operatori funzionali all’erogazione del Servizio, nei limiti delle finalità indicate nella presente informativa e nel rispetto della normativa applicabile.

8. Trasferimenti di dati extra-UE

8.1 Alcuni fornitori, in particolare Stripe e gli eventuali servizi di analytics e cloud, possono comportare il trasferimento di dati personali al di fuori dello Spazio Economico Europeo, anche verso gli Stati Uniti d’America.

8.2 I trasferimenti avvengono sulla base di uno o più dei seguenti strumenti previsti dal Capo V del GDPR:

decisione di adeguatezza, ove applicabile, in particolare la Decisione di esecuzione (UE) 2023/1795 relativa al EU-US Data Privacy Framework;

clausole contrattuali standard (SCC) adottate dalla Commissione europea;

misure supplementari ove necessarie alla luce della valutazione del Paese terzo.

8.3 Copia delle garanzie utilizzate può essere richiesta scrivendo a [Email assistenza].

8.4 L’Interessato prende atto che alcuni fornitori tecnologici utilizzati dal Titolare potrebbero effettuare trattamenti o sub-trattamenti in Paesi extra-UE. In tali casi, il Titolare adotterà misure ragionevolmente idonee a garantire un livello di protezione sostanzialmente equivalente a quello previsto dal GDPR, nei limiti della struttura tecnica e contrattuale resa disponibile dai fornitori utilizzati.

9. Diritti dell’Interessato

9.1 L’Interessato, ricorrendone i presupposti di legge, può esercitare i seguenti diritti previsti dagli artt. 15-22 GDPR:

accesso ai dati personali (art. 15);

rettifica dei dati inesatti o incompleti (art. 16);

cancellazione dei dati (“diritto all’oblio”), nei limiti dell’art. 17;

limitazione del trattamento (art. 18);

portabilità dei dati (art. 20);

opposizione al trattamento basato su legittimo interesse (art. 21);

revoca del consenso prestato per finalità facoltative, senza pregiudizio per la liceità dei trattamenti precedenti;

proporre reclamo al Garante per la protezione dei dati personali (https://www.gpdp.it) o all’Autorità dello Stato membro in cui risiede.

9.2 Le richieste possono essere inviate, anche per posta elettronica ordinaria, all’indirizzo [Email assistenza]. Smoves risponde entro 30 giorni, salvo proroga giustificata fino a 60 giorni ulteriori.

9.3 Smoves può chiedere informazioni utili a confermare l’identità dell’Interessato, nel rispetto del principio di minimizzazione.

9.4 L’esercizio dei diritti dell’Interessato non potrà comportare la cancellazione o l’anonimizzazione dei dati la cui conservazione sia necessaria:

per obblighi di legge;

per finalità probatorie;

per prevenzione frodi;

per tutela del Titolare in sede giudiziaria;

per gestione di contestazioni pendenti;

per sicurezza dei sistemi e continuità operativa.

9.5 In caso di richieste manifestamente infondate, eccessive, ripetitive o sproporzionate, Smoves si riserva il diritto di:

richiedere un contributo spese ragionevole;

rifiutare la richiesta nei limiti consentiti dall’art. 12 GDPR.

10. Processi decisionali automatizzati e profilazione

10.1 Smoves potrà utilizzare strumenti automatizzati di analisi del rischio, prevenzione frodi, rilevazione anomalie, sicurezza informatica e monitoraggio operativo che, pur non producendo normalmente effetti giuridici diretti sull’Interessato ai sensi dell’art. 22 GDPR, possono contribuire a valutazioni operative relative all’erogazione del Servizio.

11. Data breach

11.1 In caso di violazione di dati personali, Smoves valuta tempestivamente l’incidente e, ricorrendone i presupposti, notifica al Garante entro 72 ore dalla conoscenza dell’evento, ai sensi dell’art. 33 GDPR, e comunica la violazione all’Interessato senza ingiustificato ritardo nei casi previsti dall’art. 34 GDPR.

11.2 Smoves mantiene un registro interno delle violazioni e degli interventi di mitigazione.

11.3 Smoves non potrà essere ritenuta responsabile per violazioni di dati personali derivanti da:

eventi fuori dal proprio ragionevole controllo;

condotte dolose o colpose dell’Interessato;

vulnerabilità o indisponibilità di servizi terzi;

attacchi informatici sofisticati non prevenibili con misure ragionevolmente adeguate secondo lo stato dell’arte.

12. Modifiche dell’informativa

12.1 Smoves si riserva il diritto di modificare, integrare o aggiornare in qualsiasi momento la presente informativa, anche in conseguenza di:

modifiche normative;

evoluzioni tecnologiche;

variazioni operative;

introduzione di nuovi servizi;

modifiche organizzative o societarie.

Le modifiche saranno efficaci dalla data di pubblicazione sul sito o dalla diversa data eventualmente indicata.

12.2 Data di ultimo aggiornamento: [Data ultimo aggiornamento].

13. Clausole specifiche

13.1 Conservazione probatoria. Smoves potrà conservare documentazione fotografica, log operativi, registrazioni di sistema, comunicazioni e ulteriori elementi probatori per finalità di tutela dei propri diritti, prevenzione abusi e gestione del rischio aziendale, anche oltre i termini ordinari di conservazione, nei limiti consentiti dalla normativa applicabile.

13.2 Utilizzo aggregato e anonimizzato dei dati. Smoves potrà utilizzare dati aggregati, anonimizzati o non riconducibili direttamente all’Interessato per finalità statistiche, di ricerca, sviluppo, ottimizzazione del Servizio, analisi di business e miglioramento dei sistemi.

13.3 Verifiche antifrode e sospensione operativa. Smoves si riserva il diritto di effettuare controlli di sicurezza e verifiche antifrode, anche automatizzate, e di sospendere temporaneamente l’erogazione del Servizio in presenza di:

anomalie operative;

incongruenze nei dati forniti;

sospetti di attività fraudolente;

violazioni dei Termini di Servizio;

rischi per la sicurezza del Servizio o di terzi.