Informativa privacy

1. Titolare e responsabile del trattamento

Titolare del trattamento è Dolciumi da Franco e Agnese e Figli S.A.S di Giuliano Raffaele & C., Via Siepe Nuova 15, 80027, Frattamaggiore, NA, Italia, 10939091210, NA - 1143680, email dolciumidafrancoeagnesesas@gmail.com, PEC dolciumidafrancoeagnese@pec.it (il "Titolare").

Il sito e la piattaforma sono ospitati, mantenuti e gestiti da ByteTech OÜ, Sepapaja tn 6, 15551 Tallinn, Harju maakond, Estonia, Reg. 17558441, VAT EE103036861, email info@bytetech.ee, che tratta i dati per conto del Titolare in qualità di responsabile del trattamento (art. 28 GDPR), sulla base di un accordo sul trattamento dei dati.

2. Quali dati trattiamo

• Dati dell'account: nome, cognome, email, telefono (facoltativo), data di nascita (facoltativa), lingua preferita, password (conservata solo in forma cifrata, mai leggibile).
• Indirizzi: indirizzo di residenza (facoltativo) e indirizzi di consegna e fatturazione, con eventuali note per il corriere, nome sul citofono, scala/piano; codice fiscale (facoltativo).
• Ordini: prodotti acquistati, importi, costo di consegna, modalità (consegna o ritiro), stato dell'ordine con data e ora di consegna o ritiro, indirizzo e telefono per la consegna, ricevute di pagamento e comunicazioni relative all'ordine.
• Recesso: le dichiarazioni di recesso inviate con il pulsante «Recedi dal contratto» (nome, email, numero d'ordine, prodotti, motivo facoltativo, data e ora).
• Pagamenti: gestiti direttamente da Stripe. Non riceviamo né conserviamo i dati completi della carta.
• Consensi: data di accettazione dei Termini e dell'Informativa, consenso facoltativo alle comunicazioni di marketing e relativa data.
• Dati tecnici: cookie tecnici (vedi Cookie policy), indirizzo IP e informazioni sul browser usati temporaneamente per la sicurezza (es. limitazione dei tentativi di accesso).

3. Finalità e basi giuridiche

• Creare e gestire il tuo account, eseguire ordini, consegne e ritiri, gestire resi e assistenza — esecuzione del contratto (art. 6.1.b GDPR).
• Inviarti email di servizio: conferma dell'indirizzo email, reimpostazione della password, ricevuta di pagamento, aggiornamenti sullo stato dell'ordine, conferma di ricezione del recesso — esecuzione del contratto e obblighi di legge (art. 6.1.b e 6.1.c).
• Adempiere agli obblighi fiscali e contabili (conservazione dei documenti di vendita) — obbligo di legge (art. 6.1.c).
• Inviarti novità e offerte via email, solo se hai dato il consenso — consenso (art. 6.1.a), revocabile in ogni momento dal tuo profilo.
• Proteggere il sito e gli account da abusi e frodi (limitazione dei tentativi, registri tecnici) — legittimo interesse del Titolare (art. 6.1.f).

Il conferimento dei dati contrassegnati come obbligatori è necessario per creare l'account o eseguire l'ordine; i dati facoltativi (telefono, data di nascita, indirizzo di residenza, codice fiscale) possono essere omessi.

4. Ricerca dell'indirizzo

Per aiutarti a compilare gli indirizzi, il testo che digiti nel campo di ricerca viene inviato dal nostro server al servizio Photon di komoot GmbH (Germania), basato sui dati aperti di OpenStreetMap. Il servizio riceve solo il testo dell'indirizzo cercato: non riceve il tuo nome, la tua email né il tuo indirizzo IP. L'uso della ricerca è facoltativo: puoi sempre compilare i campi a mano.

5. Destinatari dei dati

I dati sono trattati dal personale autorizzato del Titolare e, per suo conto, dai seguenti fornitori:

• ByteTech OÜ (Estonia, UE) — gestione tecnica del sito e della piattaforma.
• Supabase, Inc. — fornitore del database (account, indirizzi, ordini, ricevute, richieste di recesso) e dell'archiviazione delle foto dei prodotti, su server nell'Unione Europea (Irlanda, AWS eu-west-1).
• Vercel Inc. — hosting del sito web: esegue le pagine e il codice del server, con elaborazione nell'Unione Europea (Dublino, Irlanda) e distribuzione dei contenuti tramite la sua rete globale; registra dati tecnici di accesso (es. indirizzo IP, orario, pagina richiesta) per sicurezza e funzionamento.
• Resend (Plus Five Five, Inc.) — invio delle email di servizio: conferma dell'email, reimpostazione della password, ricevute di pagamento, aggiornamenti sugli ordini, conferme di recesso (Stati Uniti; trasferimento basato sulle Clausole Contrattuali Standard della Commissione UE).
• Stripe Payments Europe Ltd. (Irlanda) — elaborazione dei pagamenti, che opera anche come titolare autonomo per gli obblighi antiriciclaggio e antifrode.
• komoot GmbH (Germania) — ricerca degli indirizzi (vedi punto 4).
• Corrieri incaricati della consegna, limitatamente a nome, indirizzo, telefono e note di consegna.

I dati non vengono venduti né ceduti a terzi per finalità di marketing.

6. Trasferimenti fuori dall'UE

Alcuni fornitori (Vercel, Resend, Stripe e Supabase, società con sede negli Stati Uniti o loro gruppi) possono trattare o rendere accessibili dati negli Stati Uniti. In questi casi il trasferimento avviene sulla base delle Clausole Contrattuali Standard approvate dalla Commissione Europea e/o dell'EU-US Data Privacy Framework.

7. Per quanto tempo conserviamo i dati

• Account e indirizzi: finché l'account resta attivo; puoi eliminarlo in qualsiasi momento dal tuo profilo.
• Ordini, ricevute e documenti di vendita: 10 anni, come previsto dalla normativa fiscale (art. 2220 c.c.); dopo l'eliminazione dell'account gli ordini restano conservati senza collegamento all'account.
• Dichiarazioni di recesso: per il tempo necessario a gestire il recesso e il rimborso e, in seguito, per la durata della prescrizione dei diritti relativi (10 anni).
• Consenso marketing: fino alla revoca.
• Link di conferma email e di reimpostazione password: 48 ore e 1 ora; sessioni di accesso: 30 giorni o fino al logout.
• Contatori di sicurezza contro gli abusi (tentativi di accesso, invii di moduli), che contengono solo un codice cifrato non reversibile dell'indirizzo IP o dell'email: al massimo 24 ore.
• Dati tecnici di sicurezza: per il tempo strettamente necessario (in genere pochi minuti o giorni).

8. I tuoi diritti

Puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso, senza pregiudicare la liceità del trattamento precedente.

Dal tuo profilo puoi in autonomia modificare i dati, scaricare una copia dei tuoi dati (formato JSON) ed eliminare l'account.

Per ogni altra richiesta scrivi a dolciumidafrancoeagnesesas@gmail.com. Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo del tuo Paese UE.

9. Sicurezza e decisioni automatizzate

Adottiamo misure tecniche e organizzative adeguate: connessioni cifrate (HTTPS), password conservate in forma cifrata, accesso ai dati limitato al personale autorizzato e protezione del database. Non effettuiamo decisioni basate unicamente su trattamenti automatizzati, né profilazione.