Informazioni sul GDPR

1. Quadro normativo e finalità

Il Regolamento Generale sulla Protezione dei Dati (GDPR), applicabile dal 25 maggio 2018, costituisce il principale riferimento europeo per la tutela dei dati personali.

La normativa disciplina la trasparenza, la liceità del trattamento, le responsabilità dei soggetti coinvolti, il controllo degli interessati sui propri dati e la prevenzione degli accessi non autorizzati.

In Italia, la vigilanza è esercitata dalle autorità competenti in materia di protezione dei dati.

Questa pagina presenta i principi GDPR rilevanti per le attività di commercio elettronico del sito.

Le modalità specifiche di raccolta e utilizzo delle informazioni sono descritte nell'Informativa sulla Privacy e nella Informativa sui Cookie.

2. Applicabilità del GDPR

Il GDPR disciplina i trattamenti di dati personali che rientrano nel suo ambito territoriale e materiale.

Può applicarsi anche a soggetti stabiliti fuori dall'Unione Europea quando, alle condizioni previste dal regolamento, offrono beni o servizi a persone situate nell'UE oppure ne monitorano il comportamento all'interno dell'Unione.

Le attività svolte esclusivamente per finalità personali o domestiche sono generalmente escluse dal relativo ambito di applicazione.

3. Principi fondamentali del trattamento

Le operazioni che coinvolgono dati personali devono rispettare i principi previsti dall'articolo 5 del GDPR.

3.1 Liceità, correttezza e trasparenza

Ogni trattamento richiede una base giuridica appropriata e informazioni comprensibili per l'interessato.

3.2 Limitazione delle finalità

I dati devono essere raccolti per scopi determinati, espliciti e legittimi, evitando utilizzi successivi incompatibili.

3.3 Minimizzazione

Le informazioni trattate devono essere pertinenti e limitate a quanto necessario per ordini, pagamenti, consegne, assistenza, comunicazioni e obblighi applicabili.

3.4 Esattezza

Devono essere considerate misure ragionevoli per correggere o aggiornare i dati inesatti.

3.5 Limitazione della conservazione

La durata del trattamento deve essere coerente con le finalità e con gli eventuali obblighi legali. Quando appropriato, i dati possono essere cancellati, anonimizzati o sottoposti a limitazioni.

3.6 Integrità, riservatezza e responsabilizzazione

Le informazioni devono essere gestite con misure di sicurezza adeguate ai rischi. Il titolare è inoltre tenuto a dimostrare il rispetto dei principi applicabili.

4. Basi giuridiche utilizzabili

La liceità del trattamento dipende dalla finalità concreta e dalle condizioni previste dall'articolo 6 del GDPR.

  • Esecuzione contrattuale: gestione degli ordini, verifica dei pagamenti, spedizioni, restituzioni, rimborsi e assistenza collegata agli acquisti.

  • Obblighi di legge: conservazione di documenti fiscali, registrazioni contabili, informazioni sulle transazioni e adempimenti normativi.

  • Legittimo interesse: sicurezza del sito, prevenzione delle frodi, individuazione di accessi anomali e continuità dei servizi, previa valutazione degli interessi e dei diritti coinvolti.

  • Consenso: utilizzo di strumenti analitici non necessari, determinate preferenze, cookie pubblicitari e altre attività di marketing quando richiesto dalla normativa.

La base giuridica effettiva viene individuata in relazione al singolo trattamento.

5. Ruoli e responsabilità

Titolare del trattamento

  • Determina le finalità e i mezzi essenziali del trattamento ed è responsabile degli obblighi GDPR pertinenti.

  • Per le attività nelle quali stabilisce tali elementi, il sito opera come titolare, salvo diversa indicazione.

Responsabile del trattamento

  • Un fornitore esterno può trattare dati personali per conto del titolare, secondo istruzioni documentate e accordi applicabili.

  • La ripartizione delle responsabilità dipende dal ruolo effettivamente svolto da ciascun soggetto.

6. Diritti riconosciuti agli interessati

Alle condizioni stabilite dal GDPR, gli utenti possono esercitare i seguenti diritti:

  • Accesso: conoscere i trattamenti effettuati e ottenere le informazioni e i dati pertinenti.

  • Rettifica: correggere dati inesatti o integrare informazioni incomplete.

  • Cancellazione: richiedere l'eliminazione quando ricorrono i presupposti legali.

  • Limitazione: ottenere restrizioni al trattamento nei casi previsti.

  • Portabilità: ricevere i dati applicabili in formato strutturato, comunemente utilizzato e leggibile automaticamente.

  • Opposizione: contestare determinati trattamenti, compresi quelli fondati sul legittimo interesse.

  • Revoca del consenso: ritirare un'autorizzazione precedentemente espressa.

La revoca non incide sulla liceità dei trattamenti effettuati prima della stessa.

L'esercizio dei diritti può essere soggetto alle condizioni, alle eccezioni e ai limiti stabiliti dalla normativa.

I servizi del sito non sono destinati a persone di età inferiore a 18 anni.

7. Misure organizzative e sicurezza

La protezione dei dati può comprendere strumenti tecnici e procedure organizzative proporzionati alla natura delle informazioni e ai rischi del trattamento.

Le misure possono includere protezione delle comunicazioni, gestione delle autorizzazioni, controllo degli accessi, registrazione delle attività, monitoraggio dei sistemi e aggiornamenti di sicurezza.

Le procedure possono essere adeguate in funzione dell'evoluzione tecnologica e delle attività svolte.

Per le richieste relative ai diritti GDPR possono essere necessarie informazioni aggiuntive per verificare l'identità del richiedente e il collegamento con i dati interessati.

8. Violazioni dei dati e valutazione dei rischi

In presenza di una violazione dei dati personali, possono essere effettuate verifiche tecniche, analisi delle conseguenze, limitazioni degli accessi e interventi correttivi.

Quando sussistono le condizioni previste dall'articolo 33 del GDPR, la violazione deve essere notificata all'autorità di controllo competente, ove possibile entro 72 ore dalla conoscenza dell'evento.

Se la violazione presenta un rischio elevato per i diritti e le libertà delle persone fisiche, può essere necessaria anche la comunicazione agli interessati, secondo l'articolo 34.

In funzione della natura, delle dimensioni e dei rischi delle attività, possono inoltre applicarsi obblighi relativi ai registri dei trattamenti, alle valutazioni d'impatto e ad altre misure di protezione.

9. Trasferimenti internazionali

L'impiego di servizi tecnologici e fornitori situati fuori dallo Spazio Economico Europeo può comportare trasferimenti internazionali di dati personali.

Tali operazioni devono rispettare le condizioni previste dal Capo V del GDPR.

Gli strumenti giuridici applicabili possono comprendere:

  • Decisioni di adeguatezza della Commissione Europea.

  • Clausole contrattuali standard (SCC).

  • Altri meccanismi di trasferimento riconosciuti dalla normativa.

In relazione alla destinazione e ai rischi, possono essere considerate ulteriori misure, quali cifratura e restrizioni degli accessi.

Le modalità effettive dipendono dai servizi coinvolti e dalle caratteristiche del trattamento.

10. Cookie, analisi e pubblicità digitale

Nel contesto del commercio elettronico, cookie e tecnologie analoghe possono supportare il funzionamento delle pagine, la memorizzazione delle preferenze, le statistiche di utilizzo e le attività pubblicitarie.

Quando la normativa richiede il consenso, le tecnologie non essenziali e i trattamenti associati devono essere attivati soltanto dopo una scelta valida dell'utente.

Le preferenze possono essere modificate o revocate attraverso gli strumenti di gestione disponibili sul sito.

Per determinati servizi Google destinati agli utenti dello Spazio Economico Europeo, possono inoltre applicarsi requisiti specifici relativi alla raccolta del consenso e alla comunicazione del relativo stato.

Documentazione pertinente:

  • Politica sui Cookie

  • Impostazioni Cookie

  • Norme sulla Privacy di Google

  • Norme Google sul Consenso degli Utenti dell'UE

11. GDPR nelle attività di commercio elettronico

La protezione dei dati interessa diverse fasi del rapporto con il consumatore, tra cui registrazione degli account, acquisti, pagamenti, gestione delle consegne, assistenza, sicurezza informatica e comunicazioni commerciali.

La trasparenza richiede informazioni appropriate sulle finalità, sulle basi giuridiche, sui destinatari, sui periodi di conservazione e sui diritti degli interessati.

Le attività che utilizzano Google Merchant Center, Google Ads o servizi di terze parti devono considerare sia gli obblighi normativi sia le regole applicabili alle rispettive piattaforme.

La conformità alle condizioni di una piattaforma non equivale automaticamente alla conformità al GDPR, e viceversa.

12. Autorità di controllo e reclami

In Italia, il Garante per la protezione dei dati personali esercita le funzioni di controllo previste dalla normativa.

In presenza di violazioni, le autorità competenti possono adottare provvedimenti correttivi, limitare determinati trattamenti, disporne la cessazione o applicare sanzioni amministrative.

Le misure dipendono dalla natura della violazione, dalla gravità, dalla durata e dagli altri criteri previsti dalla legge.

Gli interessati possono presentare reclamo al Garante o a un'altra autorità di controllo competente e utilizzare gli ulteriori strumenti di tutela disponibili.

13. Contatti per richieste GDPR

Per informazioni sul trattamento dei dati personali o per esercitare i diritti previsti dalla normativa è possibile scrivere a:

Le richieste vengono esaminate considerando il contenuto, le eventuali verifiche di identità e gli obblighi applicabili.

Rimane disponibile il diritto di rivolgersi all'autorità di controllo competente in caso di contestazioni relative al trattamento.

14. Informazioni sul titolare e documentazione

Per le operazioni nelle quali determina le finalità e i mezzi del trattamento, il sito assume il ruolo di titolare ai sensi del GDPR, salvo diversa indicazione.

Le attività pertinenti devono essere valutate secondo i principi di liceità, trasparenza, minimizzazione, sicurezza, limitazione della conservazione e tutela dei diritti degli interessati.

Questa pagina costituisce una sintesi informativa generale e non sostituisce la documentazione relativa ai singoli trattamenti.