Privacy Policy

Titolare del trattamento

Titolare del trattamento è Il Giardino di Esperia di Caggiano Eleonora, con sede in Via Nicola Vaccaro 120A, 85100 Potenza (PZ), P.IVA 02238290767, gestore del sito ilgiardinodiesperia.it. Email di contatto: contatti@ilgiardinodiesperia.it. PEC: amministrazione@pec.ilgiardinodiesperia.it. Responsabile della Protezione dei Dati (DPO): non nominato, in quanto non obbligatorio per questa attività.

Dati raccolti e finalità

• Dati di registrazione (nome, cognome, email, password cifrata) - per la gestione del tuo account.
• Dati d'ordine (indirizzo di spedizione, telefono, prodotti acquistati) - per l'evasione e la spedizione degli ordini.
• Dati di pagamento - NON conservati da noi; gestiti direttamente da Stripe/PayPal con i propri standard PCI-DSS.
• Email per la newsletter - solo se ti iscrivi volontariamente, per inviarti aggiornamenti e offerte.
• Dati dei moduli di contatto (nome, email, messaggio) - per rispondere alle tue richieste.
• Dati anti-bot (indirizzo IP e segnali tecnici tramite Cloudflare Turnstile) - per proteggere i moduli da spam e abusi.
• Dati di navigazione (IP, pagine visitate) - raccolti dai log del server per sicurezza e diagnosi tecnica.
• Indirizzo IP dell'ordine - salvato insieme all'ordine, per la prevenzione delle frodi, e cancellato dopo 12 mesi.
• Data di nascita - facoltativa, la inserisci tu nel tuo account: serve solo ad accreditarti le Gocce di Luna nel giorno del compleanno.
• Programma fedeltà (saldo delle Gocce di Luna, codice invito personale e, se sei arrivato da un invito, chi ti ha invitato) - per gestire punti e premi.
• Richieste di assistenza (oggetto, messaggio e risposte scambiate) - per gestire resi, problemi e domande sugli ordini.
• Recensioni dei prodotti (nome e testo) - se scegli di scriverne una, viene pubblicata sul sito accanto al prodotto.
• Identificativo cliente presso Stripe - solo se scegli di salvare una carta per gli acquisti successivi. I dati della carta restano da Stripe: noi conserviamo solo il riferimento.
• Segreto della verifica in due passaggi - solo se attivi il 2FA sul tuo account.

Conferimento dei dati

Il conferimento dei dati di registrazione e d'ordine è necessario per creare un account ed evadere gli acquisti: il loro mancato conferimento rende impossibile fornirti il servizio. Il conferimento dell'email per la newsletter è invece del tutto facoltativo e non incide sulla possibilità di acquistare.

Base giuridica del trattamento

• Esecuzione di un contratto (art. 6 c.1 lett. b GDPR) - per gestire ordini e account.
• Adempimento di obblighi legali (art. 6 c.1 lett. c GDPR) - per la conservazione fiscale dei dati.
• Legittimo interesse (art. 6 c.1 lett. f GDPR) - per la sicurezza del sito, la protezione anti-bot e la prevenzione delle frodi.
• Consenso (art. 6 c.1 lett. a GDPR) - per l'iscrizione alla newsletter e le comunicazioni commerciali.

Newsletter e comunicazioni commerciali

Se ti iscrivi alla newsletter, trattiamo la tua email sulla base del tuo consenso. Puoi revocare il consenso e disiscriverti in qualsiasi momento tramite il link presente in fondo a ogni email o scrivendo a contatti@ilgiardinodiesperia.it. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca.

Conservazione dei dati

I dati dell'account vengono conservati finché l'account è attivo. I dati degli ordini pagati vengono conservati per 10 anni in ottemperanza agli obblighi fiscali. Gli ordini mai pagati (un pagamento avviato e non concluso) non sono documenti fiscali: dopo 6 mesi ne cancelliamo nome, email, telefono, indirizzi, dati di fatturazione e indirizzo IP, e ne resta solo una traccia anonima (prodotti, importo, data) a fini statistici. I dati della newsletter sono conservati fino alla disiscrizione; dopo la disiscrizione conserviamo il solo indirizzo, contrassegnato come non iscritto, per non riscriverti per errore. I dati dei moduli di contatto sono conservati per il tempo necessario a gestire la richiesta. Puoi cancellare il tuo account in qualsiasi momento dalla tua area personale. Quando lo fai eliminiamo davvero nome, email, indirizzi salvati, preferiti, carrello, data di nascita, richieste di assistenza, notifiche e iscrizione alla newsletter; togliamo il tuo nome dalle recensioni che hai scritto e l'indirizzo IP dagli ordini. Restano i soli ordini, perché sono documenti fiscali che siamo obbligati a conservare per 10 anni. L'operazione è irreversibile.

Responsabili e comunicazione a terzi

I tuoi dati non vengono venduti né ceduti a terzi per scopi commerciali. Sono trattati da fornitori che agiscono come responsabili del trattamento (art. 28 GDPR) o comunicati esclusivamente a:

• Stripe Inc. e PayPal - per l'elaborazione dei pagamenti.
• Neon - banca dati del sito: account, ordini e indirizzi di spedizione sono archiviati su server situati a Francoforte, in Germania.
• Vercel - hosting del sito, esecuzione delle funzioni e archiviazione delle fotografie dei prodotti. Società statunitense, con rete di distribuzione in più Paesi.
• Cloudflare, Inc. - gestione dei DNS del dominio e servizio anti-bot Turnstile.
• Resend (fornitore di invio email) - per l'invio delle email transazionali e della newsletter, da server situati in Irlanda.
• Upstash - limitatore di richieste contro gli abusi (per esempio i tentativi ripetuti di accesso): tiene l'indirizzo IP e, dopo un accesso sbagliato, l'email dell'account, per al massimo 15 minuti, su server situati a Francoforte, in Germania.
• Sentry - raccolta dei messaggi di errore, per la manutenzione del sito, su server situati nell'Unione Europea. È configurato in modo da non ricevere i dati identificativi dell'utente né il contenuto dei moduli compilati, e non registra le sessioni di navigazione.
• Google - solo se scegli di accedere al tuo account tramite "Accedi con Google".
• Calendly - solo se prenoti un appuntamento dal calendario presente nella pagina Consulenze.
• Aruba - gestione delle caselle di posta del dominio, su server situati in Italia.
• Corrieri e spedizionieri - per la consegna degli ordini (solo nome, indirizzo, telefono). Le spedizioni sono organizzate tramite SpedirePRO, che affida il pacco al corriere.
• Autorità competenti - in caso di obbligo di legge.

Trasferimento internazionale dei dati

La banca dati che contiene account e ordini si trova in Germania, e le email partono da server in Irlanda. Alcuni fornitori sono però società statunitensi o operano su reti distribuite in più Paesi (Vercel, Cloudflare, Stripe, PayPal, Google, Calendly, Sentry, Upstash) e possono quindi trattare dati al di fuori dell'UE. Tali trasferimenti avvengono nel rispetto delle garanzie previste dal GDPR (clausole contrattuali standard o decisioni di adeguatezza della Commissione Europea).

Processo decisionale automatizzato e profilazione

Non effettuiamo processi decisionali automatizzati né attività di profilazione che producano effetti giuridici o significativi sull'utente.

I tuoi diritti

Ai sensi degli artt. 15-22 del GDPR hai diritto di:

• Accedere ai tuoi dati personali.
• Rettificare dati inesatti o incompleti.
• Richiedere la cancellazione ("diritto all'oblio").
• Limitare o opporti al trattamento.
• Ricevere i tuoi dati in formato portabile.
• Revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento precedente.
• Proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).

Sicurezza

Adottiamo misure tecniche e organizzative adeguate per proteggere i tuoi dati: connessioni cifrate HTTPS, password cifrate con Argon2id, intestazioni di sicurezza, protezione anti-bot e accesso limitato al database. Nessun sistema è tuttavia infallibile al 100%.

Modifiche a questa informativa

Possiamo aggiornare la presente informativa nel tempo. Le eventuali modifiche saranno pubblicate su questa pagina con l'indicazione della nuova data di aggiornamento.

Contatti

Per esercitare i tuoi diritti o per qualsiasi domanda: contatti@ilgiardinodiesperia.it