1. Titolare del trattamento

Il titolare del trattamento è [nome del venditore], [forma giuridica], partita IVA [partita IVA], con sede in [sede]. Per qualsiasi richiesta relativa ai dati personali: info@colpodifato.it.

2. Dati trattati

• Chi crea un regalo: nome; contenuti del regalo (lettera, fotografie, brano della raccolta o video di YouTube, date, meta e città in gioco); domanda d’accesso e relativa risposta, conservata cifrata. Durante la creazione la bozza è salvata anche nella memoria locale del browser (IndexedDB).
• Chi acquista: indirizzo email, raccolto da Stripe al pagamento e usato esclusivamente per le comunicazioni di servizio (conferma d’acquisto, link di modifica, notifiche di apertura del regalo, di scelta della meta e di indisponibilità del video di YouTube); importo, data e identificativi della transazione; data e versione dell’accettazione delle condizioni di vendita. I dati della carta di pagamento sono trattati esclusivamente da Stripe e non sono mai accessibili a noi.
• Chi riceve un regalo: nome e fotografie inseriti da chi crea il regalo (dati raccolti presso terzi, art. 14 GDPR); data e ora di apertura, tentativi del globo e meta confermata; un cookie tecnico di sessione dopo la risposta corretta alla domanda d’accesso.
• Chi visita il sito: l’indirizzo IP non è conservato in chiaro. Ne conserviamo un hash crittografico calcolato con una chiave segreta (HMAC-SHA-256), usato solo per limitare gli abusi (rate limiting) e cancellato dopo 2 giorni: è un dato pseudonimizzato, non anonimo. Il fornitore di hosting registra i log delle richieste (risorsa richiesta, orario e dati tecnici della richiesta) per un’ora, a fini di sicurezza e diagnostica; i nostri log applicativi non contengono mai token, link di modifica, risposte d’accesso, cookie o indirizzi email.

3. Finalità e basi giuridiche (art. 6 GDPR)

• Creazione, consegna e gestione del regalo acquistato: esecuzione del contratto (art. 6.1.b).
• Conservazione dei dati della transazione: adempimento di obblighi di legge (art. 6.1.c).
• Sicurezza del servizio e prevenzione degli abusi; consegna del regalo a chi lo riceve: legittimo interesse (art. 6.1.f). Chi riceve il regalo può opporsi in qualsiasi momento.

4. Natura del conferimento

Il conferimento dei dati di chi crea e acquista il regalo è necessario per fornire il servizio; in mancanza, il regalo non può essere creato né acquistato.

5. Fornitori e trasferimenti

I dati sono trattati con il supporto dei seguenti fornitori, ciascuno per le sole finalità indicate:

• Neon — database PostgreSQL ospitato su AWS, regione eu-central-1 (Francoforte). Databricks, Inc. (Stati Uniti), società madre di Neon, LLC; responsabile del trattamento (art. 28 GDPR). Eventuali trasferimenti verso gli Stati Uniti sono fondati sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 (EU-U.S. Data Privacy Framework), cui aderisce Databricks, Inc.
• Vercel — hosting del sito e archiviazione delle fotografie (Vercel Blob), regione fra1 (Francoforte). Vercel Inc. (Stati Uniti); responsabile del trattamento (art. 28 GDPR). Eventuali trasferimenti verso gli Stati Uniti sono fondati sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 (EU-U.S. Data Privacy Framework), cui aderisce Vercel Inc.
• Stripe — elaborazione dei pagamenti. Stripe Payments Europe, Limited (Irlanda); responsabile del trattamento (art. 28 GDPR) per l’elaborazione dei pagamenti e titolare autonomo del trattamento per la prevenzione delle frodi e l’adempimento degli obblighi di legge. Eventuali trasferimenti verso gli Stati Uniti sono fondati sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 (EU-U.S. Data Privacy Framework), cui aderisce Stripe, LLC.
• Resend — invio delle email transazionali. Plus Five Five, Inc. («Resend», Stati Uniti); responsabile del trattamento (art. 28 GDPR). L’invio avviene dalla regione scelta per il dominio di spedizione; i dati dell’account, i metadati e i registri delle email sono comunque conservati negli Stati Uniti, e i dati delle email sono conservati per 30 giorni. Eventuali trasferimenti verso gli Stati Uniti sono fondati sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 (EU-U.S. Data Privacy Framework), cui aderisce Plus Five Five, Inc.
• Google (YouTube) — solo se chi crea il regalo sceglie un video di YouTube: il lettore è caricato dal browser di chi apre il regalo e dall’editor, quando chi crea il regalo sceglie la canzone; una volta alla settimana verifichiamo la disponibilità del video trasmettendo soltanto il suo identificativo. Google Ireland Limited (Irlanda); titolare autonomo del trattamento. Eventuali trasferimenti verso gli Stati Uniti sono fondati sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 (EU-U.S. Data Privacy Framework), cui aderisce Google LLC.

6. Periodo di conservazione

• Bozze non acquistate: cancellate, insieme alle fotografie, 7 giorni dopo l’ultima modifica.
• Regali acquistati: online per 12 mesi dal pagamento. Il giorno successivo alla scadenza sono cancellati lettera, fotografie, nome di chi riceve il regalo, email di chi ha acquistato, risposta d’accesso, tentativi del globo e copie di modifica.
• Dati della transazione (importo, data, identificativi): 10 anni dal pagamento, come previsto per la documentazione contabile (art. 2220 del Codice civile). Al termine resta soltanto il link, che può contenere il nome scelto per il regalo, per impedirne il riutilizzo.
• Hash dell’indirizzo IP: 2 giorni.
• Stripe e Resend conservano i dati secondo le rispettive informative: Stripe · Resend.

7. Comunicazione e diffusione

I dati non sono venduti né ceduti a terzi, né diffusi.

8. Diritti dell’interessato

In qualsiasi momento puoi esercitare i diritti previsti dagli articoli 15–22 del GDPR: accesso, rettifica, cancellazione, limitazione del trattamento, portabilità e opposizione. Le richieste vanno inviate a info@colpodifato.it; rispondiamo entro un mese (art. 12 GDPR). Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it), ai sensi dell’art. 77 GDPR.

9. Destinatari di un regalo

Nome e fotografie sono inseriti da chi crea il regalo, che dichiara di averne il diritto (Condizioni di vendita). Per chiederne la rimozione puoi rivolgerti a chi ha creato il regalo, che può modificarlo, oppure scrivere a info@colpodifato.it indicando il link del regalo.

10. Modifiche all’informativa

Eventuali modifiche sostanziali sono pubblicate su questa pagina.