Informativa sulla privacy
Versione 1.0 — ultimo aggiornamento: 24 agosto 2026. Resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR), del D.lgs. 196/2003 (Codice privacy) e delle Linee guida cookie e altri strumenti di tracciamento del Garante per la protezione dei dati personali del 10 giugno 2021.
Questa pagina spiega in modo concreto quali dati personali raccogliamo quando visiti il nostro sito, ci scrivi o fai un ordine, perché li usiamo, con chi li condividiamo, per quanto tempo li conserviamo e come puoi controllarli. È scritta per essere letta davvero: se qualcosa non ti è chiaro, scrivici e te lo spieghiamo.
Indice
- Chi tratta i tuoi dati
- In breve
- Quali dati trattiamo
- Perché li usiamo, con quale base giuridica e per quanto tempo
- Cosa è obbligatorio comunicarci e cosa no
- Le informazioni sulla tua salute: la parte più delicata
- Cookie e strumenti di tracciamento
- A chi comunichiamo i dati
- Trasferimenti fuori dall'Unione europea
- Come proteggiamo i dati
- Dati che riceviamo da altri
- Nessuna decisione automatizzata, nessuna profilazione dei clienti
- Minori
- I tuoi diritti e come esercitarli
- Reclamo al Garante
- Modifiche a questa informativa
1. Chi tratta i tuoi dati
Titolare del trattamento è:
Erboristeria Fiordaliso della Dr.ssa Debora Usai — impresa individuale
Piazza Francesco Ciusa 40, 09013 Carbonia (SU), Italia
Partita IVA 03016980926
Telefono e WhatsApp: +39 0781 1988536
Email: info@latuaerboristeriaonline.it
Sito: erboristeriafiordaliso.it
Per qualsiasi questione riguardante i tuoi dati personali, compreso l'esercizio dei diritti descritti al punto 14, scrivi a info@latuaerboristeriaonline.it indicando «Privacy» nell'oggetto, oppure una lettera all'indirizzo del negozio. Ti risponde direttamente la titolare, la Dr.ssa Debora Usai.
Non abbiamo l'obbligo di nominare un Responsabile della protezione dei dati (DPO) ai sensi dell'art. 37 del GDPR: siamo una piccola impresa individuale e non svolgiamo trattamenti su larga scala né monitoraggio sistematico. Il punto di riferimento per la privacy è quindi la titolare stessa.
2. In breve
- Usiamo i tuoi dati per consegnarti l'ordine, fatturarlo e assisterti. Nient'altro, se non ce lo chiedi tu.
- Non vendiamo e non cediamo i tuoi dati a terzi per la loro pubblicità.
- Non vediamo mai il numero completo della tua carta di pagamento: lo tratta direttamente il gestore dei pagamenti.
- Newsletter e pubblicità solo con il tuo consenso, revocabile in un clic, e mai come condizione per acquistare.
- Statistica e marketing (Google Analytics, Google Merchant Center, pixel Meta) trattano i tuoi dati sulla base del tuo consenso, revocabile in un clic dalle preferenze cookie; restano sempre attivi i cookie tecnici e quelli di misurazione propri di Shopify, elencati per nome più avanti.
- Se ci racconti un tuo problema di salute per avere un consiglio, quelle informazioni ricevono una tutela rafforzata: leggi il punto 6, che è la parte più importante di questa pagina.
3. Quali dati trattiamo
a) Dati identificativi e di contatto
Nome e cognome, indirizzo di spedizione e di fatturazione, indirizzo email, numero di telefono o di WhatsApp; su richiesta di fattura anche codice fiscale, partita IVA, codice destinatario o PEC.
b) Dati relativi all'ordine
Prodotti acquistati, quantità, importi, sconti, data e ora, metodo di consegna (spedizione o ritiro in negozio), metodo di pagamento, stato dell'ordine, spedizione e tracciamento, eventuali resi, recessi, rimborsi, reclami e comunicazioni collegate.
c) Dati di pagamento
Non trattiamo né conserviamo il numero completo della carta, la data di scadenza o il codice di sicurezza: questi dati vengono inseriti in pagine e campi gestiti direttamente dal gestore dei pagamenti e da PayPal. Noi riceviamo soltanto l'esito dell'operazione, l'importo, il metodo utilizzato, il codice identificativo della transazione e, per le carte, il circuito e le ultime quattro cifre. Per il bonifico trattiamo i dati che compaiono nella contabile bancaria (nome dell'ordinante, IBAN, causale); per il contrassegno l'importo incassato dal corriere.
d) Dati di navigazione
Indirizzo IP, tipo di browser e dispositivo, sistema operativo, lingua, pagine visitate, data e ora, sito di provenienza, identificativi contenuti nei cookie e negli strumenti di tracciamento descritti al punto 7.
e) Contenuto delle comunicazioni
Il testo dei messaggi che ci invii su WhatsApp, per email, dal modulo contatti o nelle note dell'ordine, e ciò che ci dici al telefono e annotiamo per poterti rispondere. Queste comunicazioni possono contenere informazioni sul tuo stato di salute: vedi il punto 6.
f) Account, carrello e preferenze
Se crei un profilo, le credenziali e la cronologia degli acquisti. Carrello, prodotti preferiti e scelta sui cookie sono salvati nella memoria locale del tuo browser (localStorage) e restano sul tuo dispositivo.
g) Iscrizione alla newsletter
Indirizzo email, data e ora dell'iscrizione e prova del consenso; se attivo, dati statistici di apertura e clic delle email.
h) Recensioni e contenuti pubblici
Se ci lasci una recensione, il nome (anche solo il nome di battesimo, se preferisci), la valutazione e il testo, che possiamo mostrare sul sito con il tuo consenso; oppure le recensioni che hai già pubblicato tu su Google o Facebook.
i) Dati fiscali e contabili
Fatture, corrispettivi, note di credito, registri IVA e la relativa documentazione.
4. Perché li usiamo, con quale base giuridica e per quanto tempo
Per ogni finalità indichiamo la base giuridica che ci legittima e il tempo concreto di conservazione. Scaduto quel termine i dati vengono cancellati o resi anonimi.
| Finalità | Base giuridica | Conservazione |
|---|---|---|
| Gestire l'acquisto: registrazione dell'ordine, preparazione del pacco, spedizione o ritiro in negozio, comunicazioni sull'ordine, resi e recessi, rimborsi, garanzia legale di conformità, assistenza post-vendita | Esecuzione del contratto di vendita e delle misure precontrattuali richieste da te — art. 6, par. 1, lett. b) GDPR | 10 anni dalla conclusione del contratto o dall'ultimo atto di esecuzione, in linea con il termine ordinario di prescrizione (art. 2946 c.c.) |
| Emettere e conservare fatture e corrispettivi, tenere le scritture contabili, adempiere agli obblighi IVA e alle richieste dell'Amministrazione finanziaria | Obbligo legale — art. 6, par. 1, lett. c) GDPR (D.P.R. 633/1972, D.P.R. 600/1973, art. 2220 c.c.) | 10 anni dalla registrazione, e comunque fino alla definizione di eventuali accertamenti o contenziosi tributari |
| Rispondere alle tue domande e darti consigli su prodotti e usi, su WhatsApp, al telefono, per email o dal modulo contatti | Esecuzione del contratto o trattative precontrattuali — art. 6, par. 1, lett. b); per le richieste non collegate a un acquisto, nostro legittimo interesse a fornire assistenza a chi ci contatta — art. 6, par. 1, lett. f) | 24 mesi dall'ultimo messaggio scambiato; 12 mesi, o subito su tua richiesta, se la conversazione contiene informazioni sulla salute (punto 6) |
| Trattare le informazioni sul tuo stato di salute che ci comunichi spontaneamente per ricevere un consiglio (disturbi, allergie, terapie in corso, gravidanza, allattamento) | Consenso esplicito — art. 9, par. 2, lett. a) GDPR, che ti chiediamo prima di proseguire e che puoi revocare in ogni momento | 12 mesi dalla fine della conversazione; immediata cancellazione su tua richiesta. Le note d'ordine che contengono riferimenti alla salute vengono rimosse entro 30 giorni dalla consegna |
| Gestire il tuo profilo cliente, il carrello e i prodotti preferiti | Esecuzione del contratto e del servizio richiesto — art. 6, par. 1, lett. b) | Fino alla cancellazione del profilo da parte tua; in caso di 36 mesi di inattività chiudiamo il profilo dopo averti avvisato per email |
| Inviarti la newsletter con consigli di stagione, novità e offerte riservate | Consenso — art. 6, par. 1, lett. a) GDPR e art. 130 del Codice privacy | Fino alla revoca del consenso; cancelliamo comunque gli iscritti che non aprono né cliccano alcuna email per 24 mesi. La prova del consenso e della revoca è conservata 5 anni dalla cessazione, per poter dimostrare di aver operato correttamente (art. 6, par. 1, lett. f)) |
| Inviare a chi ha già acquistato, alla stessa email usata per l'acquisto, comunicazioni su nostri prodotti analoghi a quelli acquistati | Art. 130, comma 4, del Codice privacy in combinazione con il nostro legittimo interesse alla vendita diretta — art. 6, par. 1, lett. f). In ogni messaggio trovi il modo per opporti, e puoi farlo anche prima, senza motivare | 24 mesi dall'ultimo acquisto, o fino alla tua opposizione |
| Capire come viene usato il sito con statistiche aggregate (Google Analytics 4), se attivato | Consenso — art. 6, par. 1, lett. a) GDPR e art. 122 del Codice privacy | Cookie fino a 24 mesi; dati negli strumenti di analisi fino a 14 mesi |
| Misurare i risultati delle nostre inserzioni e mostrarti annunci pertinenti (Google Ads, Pixel di Meta), se attivati | Consenso — art. 6, par. 1, lett. a) GDPR e art. 122 del Codice privacy | Cookie da 3 a 24 mesi secondo la tabella al punto 7; dati presso i fornitori secondo le loro informative |
| Garantire la sicurezza del sito, prevenire frodi, pagamenti fraudolenti e abusi, mantenere l'integrità dei sistemi e dei backup | Legittimo interesse a proteggere la nostra attività e i clienti — art. 6, par. 1, lett. f) | Log tecnici e di sicurezza: 12 mesi. Backup: 30 giorni di rotazione |
| Far valere o difendere i nostri diritti in caso di reclami, contestazioni, mancati pagamenti, contestazioni della transazione (chargeback) o controversie | Legittimo interesse alla tutela dei propri diritti — art. 6, par. 1, lett. f); per eventuali dati sulla salute, art. 9, par. 2, lett. f) | Per tutta la durata della controversia e fino alla scadenza dei termini di impugnazione |
| Rispondere a richieste legittime di autorità pubbliche, giudiziarie o di vigilanza | Obbligo legale — art. 6, par. 1, lett. c) | Per il tempo richiesto dall'autorità |
| Pubblicare sul sito la tua recensione | Consenso — art. 6, par. 1, lett. a) | Fino alla revoca del consenso o alla tua richiesta di rimozione |
Dove ci basiamo sul legittimo interesse abbiamo effettuato una valutazione di bilanciamento fra il nostro interesse e i tuoi diritti: puoi chiedercene copia scrivendo a info@latuaerboristeriaonline.it. Se due basi giuridiche si sovrappongono (per esempio contratto e obbligo fiscale), i dati restano conservati per il termine più lungo, ma vengono usati solo per la finalità che lo giustifica.
5. Cosa è obbligatorio comunicarci e cosa no
- Necessari: nome, indirizzo di consegna, un contatto e i dati di pagamento. Senza di essi non possiamo concludere né eseguire il contratto, quindi non possiamo accettare l'ordine. I dati fiscali richiesti per la fattura sono imposti dalla legge.
- Facoltativi: il numero di telefono o di WhatsApp (ci serve solo per avvisarti più in fretta), le note dell'ordine, le informazioni sulla salute, l'iscrizione alla newsletter, la recensione e i cookie non tecnici. Se non li fornisci non cambia nulla: nessun aumento di prezzo, nessun ritardo, nessuna limitazione dei tuoi diritti di consumatore.
6. Le informazioni sulla tua salute: la parte più delicata
Siamo un'erboristeria e la consulenza è il cuore di quello che facciamo. Succede quindi spesso che, scrivendoci su WhatsApp o compilando le note di un ordine, tu ci racconti un disturbo, un'allergia, una terapia che stai seguendo, una gravidanza o un allattamento. Queste sono informazioni sulla salute e il GDPR le classifica come «categorie particolari di dati personali» (art. 9), cioè dati che meritano una protezione rafforzata. Ecco esattamente come ci comportiamo.
Non le chiediamo, e ti chiediamo di darcene il meno possibile
Nessun campo del sito ti chiede informazioni sanitarie. Non chiediamo diagnosi, referti, prescrizioni o documenti medici, e ti preghiamo di non allegarli. Per darti un consiglio utile ci basta sapere l'essenziale, per esempio «ho difficoltà a dormire da qualche settimana» oppure «prendo un farmaco per la pressione»: non ci serve di più. Se ci mandi un documento sanitario lo cancelliamo e te lo diciamo.
Su quale base le trattiamo
La base giuridica è il tuo consenso esplicito, ai sensi dell'art. 9, par. 2, lett. a) del GDPR, insieme all'esecuzione del rapporto con te. Per questo:
- nel modulo contatti trovi una casella dedicata, separata e non preselezionata, con cui acconsenti al trattamento di eventuali informazioni sulla salute contenute nel messaggio;
- su WhatsApp, prima di entrare nel merito, ti confermiamo per iscritto che quello che ci scrivi verrà usato solo per risponderti e ti chiediamo un «sì» esplicito; se preferisci non darlo, ti diamo comunque un'indicazione di carattere generale;
- puoi revocare il consenso in qualsiasi momento, anche con un semplice messaggio in chat: da quel momento smettiamo di usare quelle informazioni e, se ce lo chiedi, le cancelliamo subito.
Vogliamo essere trasparenti su un punto tecnico: non ci basiamo sull'art. 9, par. 2, lett. h) del GDPR (la deroga prevista per le finalità di cura), perché la titolare è un'erborista e non un professionista sanitario tenuto al segreto professionale, e perché il consiglio di un'erboristeria non è una diagnosi né una terapia. Per questo l'unica base che possiamo e vogliamo usare è il tuo consenso.
Le cautele che adottiamo, in concreto
- Minimizzazione: annotiamo solo ciò che serve a risponderti, e in forma sintetica.
- Separazione: le informazioni sulla salute non vengono trascritte nel registro clienti, nello storico ordini, nei sistemi di fatturazione o in qualsiasi archivio commerciale. Restano solo nella conversazione, per il tempo necessario a risponderti.
- Pulizia delle note d'ordine: se in una nota d'ordine compaiono riferimenti alla salute, li rimuoviamo entro 30 giorni dalla consegna, conservando solo ciò che serve per la fattura e per la garanzia.
- Tempi brevi: le conversazioni con contenuti sanitari sono cancellate entro 12 mesi, e subito se ce lo chiedi.
- Accesso ristretto: vi accede solo la titolare. Eventuali collaboratori che rispondano ai messaggi sono autorizzati per iscritto ai sensi dell'art. 29 del GDPR, istruiti sul trattamento di questi dati e vincolati alla riservatezza.
- Dispositivi protetti: telefono e computer sono protetti da codice di sblocco e crittografia del dispositivo; il backup automatico delle chat su servizi cloud è disattivato, così le conversazioni non finiscono in archivi ulteriori.
- Nessun uso commerciale: non usiamo mai queste informazioni per pubblicità, newsletter, profilazione, segmentazione dei clienti o offerte personalizzate, e non le trasmettiamo a Google, a Meta o a qualunque altro strumento di statistica o marketing.
- Nessuna comunicazione a terzi: non le comunichiamo a fornitori, corrieri, altri clienti o familiari. Le comunicheremmo solo se fossimo obbligati per legge o se ci servissero per difenderci in giudizio da una contestazione che riguarda proprio quel consiglio (art. 9, par. 2, lett. f)).
- Nessuna decisione automatizzata: le legge e le valuta una persona.
WhatsApp: cosa devi sapere
Il servizio è fornito da WhatsApp Ireland Ltd (gruppo Meta). I messaggi sono protetti da crittografia end-to-end, quindi il contenuto non è leggibile da WhatsApp; il fornitore tratta però i metadati della comunicazione (numeri, orari, frequenza, dati del dispositivo) per proprie finalità e come titolare autonomo, secondo la sua informativa. Noi non possiamo controllare quel trattamento. Se preferisci non passare da WhatsApp per parlare della tua salute, puoi telefonarci o venire in negozio: è la scelta più riservata e la consigliamo per le situazioni delicate.
Avvertenza importante, che non riguarda la privacy ma la tua salute. Gli integratori alimentari, le tisane e i cosmetici non sono farmaci, non curano malattie e non sostituiscono una terapia o il parere del medico. Le indicazioni che ti diamo sono informazioni sui prodotti e sul loro uso corretto. Se sei in cura, se sei in gravidanza o se allatti, parlane con il tuo medico o con il tuo farmacista prima di assumere qualunque prodotto.
7. Cookie e strumenti di tracciamento
I cookie sono piccoli file che un sito salva nel tuo dispositivo; strumenti equivalenti sono i pixel, gli SDK e la memoria locale del browser. Per tutti valgono le stesse regole dell'art. 122 del Codice privacy e delle Linee guida del Garante del 10 giugno 2021: solo i cookie tecnici possono essere usati senza consenso, tutti gli altri richiedono il tuo consenso preventivo, libero e revocabile.
Al primo accesso vedi un banner: da lì scegli quali categorie autorizzare. I cookie tecnici e i cookie di misurazione propri della piattaforma Shopify (_shopify_y, _shopify_s) sono impostati dal server già alla prima risposta e servono a far funzionare e monitorare il negozio. Gli strumenti di statistica e di marketing che usiamo — Google Analytics 4 (_ga), Google Merchant Center e il pixel Meta (_fbp), quest'ultimo attivo anche lato server tramite la Conversions API — trattano i tuoi dati sulla base del consenso che presti dal banner, e puoi revocarlo in qualsiasi momento dalle preferenze cookie. Chiudere il banner o scorrere la pagina non equivale a un consenso, e rifiutare è tanto semplice quanto accettare.
Shopify, che ospita il negozio, ha attiva la funzione Shopify Network Intelligence: i dati dei nostri clienti sono utilizzati da Shopify, insieme a quelli di altri negozi della piattaforma, per migliorare i propri prodotti e la personalizzazione degli annunci, secondo i Termini dei servizi aggiuntivi di Shopify. Nessun altro esercente può vedere i tuoi dati. Puoi scriverci per opporti.
a) Cookie tecnici — sempre attivi, non richiedono consenso
Servono a far funzionare il sito: tenere il carrello, mantenere la sessione, ricordare la lingua, proteggere dagli abusi e memorizzare la tua scelta sui cookie. Senza di essi il negozio non funziona.
| Nome | A cosa serve | Durata | Chi lo imposta |
|---|---|---|---|
| memoria della scelta sui cookie | Ricorda se hai accettato o rifiutato, per non richiederlo a ogni visita | fino a 12 mesi | questo sito |
| carrello e prodotti preferiti | Conserva ciò che hai messo nel carrello e i preferiti nella memoria locale del tuo browser | fino alla cancellazione dal browser | questo sito |
| cart, cart_ts, cart_sig | Identificano il carrello e la sua integrità | circa 2 settimane | piattaforma del negozio |
| _secure_session_id, keep_alive | Mantengono la sessione di navigazione e di acquisto | da 30 minuti a 24 ore | piattaforma del negozio |
| checkout, checkout_token | Gestiscono la procedura di ordine e pagamento | circa 3 settimane | piattaforma del negozio |
| secure_customer_sig | Ti tiene collegato al tuo account cliente in modo sicuro | lunga durata, revocabile con il logout | piattaforma del negozio |
| _tracking_consent | Registra le preferenze sul tracciamento | 12 mesi | piattaforma del negozio |
| localization | Ricorda paese e lingua | 12 mesi | piattaforma del negozio |
| cookie antifrode del gestore dei pagamenti | Verificano che il pagamento non sia fraudolento | durata della sessione o fino a 12 mesi | gestore dei pagamenti, PayPal |
| hCaptcha | Distingue le persone dai programmi automatici sui moduli del sito | sessione | Intuition Machines, Inc. |
| diagnostica e monitoraggio degli errori | Registrano errori tecnici e tempi di risposta delle pagine, per tenere il sito funzionante. I dati sono inviati ai server della piattaforma (otlp-http-production.shopifysvc.com, error-analytics-sessions-production.shopifysvc.com). | durata della sessione | piattaforma del negozio |
| Shop Pay e Shop Login (shop.app) | Servono ad accelerare il pagamento e a riconoscere chi ha già un account Shop. Le relative risorse sono caricate dal dominio shop.app e da cdn.shopify.com su tutte le pagine del negozio. | secondo le regole del servizio Shop | Shopify (servizio Shop) |
Nomi e durate dei cookie tecnici della piattaforma possono cambiare per aggiornamenti del fornitore: l'elenco sopra riporta quelli principali e viene verificato periodicamente.
b) Cookie statistici — solo con il tuo consenso
Ci dicono, in forma aggregata, quante persone visitano il sito, da quali pagine arrivano e dove si fermano, così possiamo migliorarlo. Se attivi questa categoria usiamo Google Analytics 4 con i Segnali Google disattivati e la personalizzazione degli annunci disattivata, senza incrociare i dati con altri servizi Google per la pubblicità.
c) Cookie di marketing e contenuti di terze parti — solo con il tuo consenso
Servono a misurare i risultati delle nostre inserzioni e a mostrarti annunci più pertinenti sulle piattaforme che usi, e a farti vedere direttamente qui dentro contenuti ospitati da altri (la mappa di Google, i video di TikTok). Questi strumenti possono leggere il tuo indirizzo IP e collegare la visita al tuo profilo presso quelle piattaforme.
| Nome | A cosa serve | Durata | Fornitore |
|---|---|---|---|
| _gcl_au | Misura le conversioni delle inserzioni Google | 3 mesi | |
| cookie di conversione e remarketing sui domini google.com e doubleclick.net | Misurazione e personalizzazione degli annunci | fino a 24 mesi | |
| _fbp, _fbc | Collegano la visita alle inserzioni di Facebook e Instagram | 3 mesi | Meta |
| fr | Erogazione e misurazione degli annunci Meta | 3 mesi | Meta |
| cookie della mappa di Google e dei video TikTok | Funzionamento e statistiche dei contenuti incorporati | dalla sessione a 24 mesi | Google, TikTok |
Come dare, cambiare o revocare il consenso
- Dal pulsante «Preferenze cookie» presente in fondo a ogni pagina del sito: si riapre il pannello e puoi modificare o revocare la scelta in qualsiasi momento, con la stessa facilità con cui l'hai data.
- Dalle impostazioni del tuo browser, dove puoi bloccare o eliminare i cookie già presenti (Chrome, Firefox, Safari ed Edge hanno tutti una sezione dedicata alla privacy).
- Dagli strumenti dei fornitori: il componente aggiuntivo di Google per la disattivazione di Analytics (tools.google.com/dlpage/gaoptout), le impostazioni degli annunci Google (myadcenter.google.com), le preferenze inserzioni nel tuo account Facebook o Instagram, e il portale youronlinechoices.com/it.
La revoca vale per il futuro: i cookie già installati prima della revoca restano nel dispositivo fino alla scadenza, se non li elimini dal browser. Revocare il consenso non pregiudica la liceità del trattamento svolto in precedenza (art. 7, par. 3, GDPR) e non limita in alcun modo la tua possibilità di acquistare.
8. A chi comunichiamo i dati
I tuoi dati sono conosciuti dalla titolare e, per quanto strettamente necessario, dai soggetti elencati qui sotto. Chi tratta i dati per nostro conto è nominato responsabile del trattamento con un contratto ai sensi dell'art. 28 del GDPR e può usarli solo secondo le nostre istruzioni. Non vendiamo i tuoi dati e non li cediamo a nessuno per finalità di marketing proprie di terzi.
| Destinatario | Perché | Ruolo | Dove |
|---|---|---|---|
| Shopify International Ltd e Shopify Inc. | Piattaforma del negozio online, hosting del sito, gestione tecnica di catalogo, carrello, ordini e account cliente | Responsabile del trattamento (accordo sul trattamento dei dati e clausole contrattuali standard) | Irlanda, Canada, Stati Uniti |
| Shopify (servizio Shop, dominio shop.app) | Pagamento accelerato Shop Pay e riconoscimento di chi ha già un account Shop. Le risorse del servizio sono caricate su tutte le pagine del negozio | Responsabile del trattamento per il servizio reso al negozio; titolare autonomo per il rapporto fra Shop e le persone che vi hanno un account | Irlanda, Canada, Stati Uniti |
| Gestore dei pagamenti con carta Shopify Payments (Shopify International Limited, Irlanda) | Autorizzazione e incasso dei pagamenti con carta, controlli antifrode, obblighi antiriciclaggio e regole dei circuiti | Titolare autonomo per gli obblighi di legge propri; responsabile per la parte eseguita per nostro conto | Unione europea, Stati Uniti |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Pagamenti con PayPal e con carta tramite PayPal, rimborsi, gestione delle contestazioni | Titolare autonomo | Lussemburgo, con società del gruppo anche fuori dall'UE |
| Corriere espresso incaricato della spedizione | Consegna del pacco, tracciamento, eventuale incasso del contrassegno, gestione di giacenze e resi | Titolare autonomo per gli obblighi del trasporto | Italia e Unione europea |
| Shopify Email (Shopify International Limited) | Invio delle email promozionali e gestione delle iscrizioni e delle disiscrizioni | Responsabile del trattamento | Irlanda, con trasferimenti verso Canada e Stati Uniti sulla base delle clausole contrattuali standard approvate dalla Commissione europea |
| Google Ireland Ltd e Google LLC | Statistiche del sito (Google Analytics 4) e misurazione delle inserzioni (Google Ads), solo con il tuo consenso | Responsabile per l'analitica; titolare autonomo per le proprie finalità pubblicitarie | Irlanda e Stati Uniti |
| Meta Platforms Ireland Ltd | Pixel di Facebook e Instagram per misurare e ottimizzare le inserzioni, solo con il tuo consenso | Contitolare per la raccolta degli eventi, titolare autonomo per l'uso successivo | Irlanda e Stati Uniti |
| WhatsApp Ireland Ltd | Servizio di messaggistica che usiamo per la consulenza e per gli avvisi sull'ordine | Titolare autonomo per i metadati della comunicazione | Irlanda, con infrastruttura del gruppo anche negli Stati Uniti |
| Consulente fiscale e contabile (denominazione comunicata su richiesta) | Contabilità, dichiarazioni fiscali, adempimenti obbligatori | Responsabile del trattamento o titolare autonomo per i propri obblighi professionali | Italia |
| Nessun fornitore esterno: il sito è gestito direttamente dalla titolare sulla piattaforma Shopify | Manutenzione, assistenza tecnica, aggiornamenti e sicurezza | Responsabile del trattamento | Italia o Unione europea |
| Banca e intermediari finanziari | Incassi, bonifici, rimborsi | Titolare autonomo | Italia |
| Avvocati, assicuratori, società di recupero crediti | Solo in caso di controversia o di credito insoluto | Titolare autonomo o responsabile | Italia |
| Autorità pubbliche, Agenzia delle Entrate, forze dell'ordine, autorità giudiziaria | Quando la comunicazione è obbligatoria per legge o richiesta con provvedimento | Titolare autonomo | Italia e Unione europea |
Nessuno dei tuoi dati viene diffuso, cioè reso conoscibile a soggetti indeterminati, con l'unica eccezione delle recensioni che scegli tu di farci pubblicare.
9. Trasferimenti fuori dall'Unione europea
Preferiamo fornitori europei ogni volta che è possibile. Alcuni servizi che usiamo appartengono però a gruppi con sede negli Stati Uniti e possono comportare un trasferimento di dati fuori dallo Spazio economico europeo. In quei casi il trasferimento avviene solo in presenza di una delle garanzie previste dal Capo V del GDPR:
- Decisione di adeguatezza (art. 45 GDPR): per le imprese statunitensi certificate nell'ambito dell'EU-U.S. Data Privacy Framework, sulla base della decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023. Puoi verificare la certificazione di un'impresa sull'elenco pubblico ufficiale del programma.
- Clausole contrattuali standard approvate dalla Commissione europea con decisione di esecuzione (UE) 2021/914 (art. 46, par. 2, lett. c) GDPR), accompagnate da una valutazione del trasferimento e da misure supplementari come la cifratura in transito e a riposo, la minimizzazione dei dati inviati e la disattivazione dei Segnali Google negli strumenti statistici.
Hai diritto di ottenere una copia o l'indicazione del luogo dove sono state rese disponibili le garanzie applicate al singolo trasferimento: basta chiederlo a info@latuaerboristeriaonline.it. Ti segnaliamo con onestà che gli strumenti statistici e pubblicitari statunitensi sono stati oggetto di provvedimenti delle autorità europee di protezione dei dati: per questo li attiviamo solo con il tuo consenso, con le impostazioni più conservative disponibili, e nessuna informazione sulla tua salute viene mai trasmessa a questi servizi.
10. Come proteggiamo i dati
Adottiamo misure tecniche e organizzative adeguate al rischio, ai sensi dell'art. 32 del GDPR:
- connessione cifrata HTTPS/TLS su tutte le pagine, comprese quelle di ordine e pagamento;
- accesso al pannello di gestione limitato alla titolare, con password robusta e verifica in due passaggi dove disponibile;
- dispositivi protetti da codice di sblocco e crittografia, sistemi e programmi aggiornati, antivirus attivo;
- principio del minimo privilegio: ogni collaboratore o fornitore accede solo a quello che gli serve, con istruzioni scritte e obbligo di riservatezza (artt. 28 e 29 GDPR);
- documenti cartacei ridotti al minimo e conservati in luogo chiuso;
- backup regolari e verificati, con rotazione a 30 giorni;
- procedura interna per le violazioni di dati personali: se si verifica un episodio che comporta un rischio per i tuoi diritti, lo notifichiamo al Garante entro 72 ore e, quando il rischio è elevato, te lo comunichiamo direttamente (artt. 33 e 34 GDPR).
11. Dati che riceviamo da altri
Ai sensi dell'art. 14 del GDPR ti informiamo che alcuni dati non ci arrivano direttamente da te:
- dal gestore dei pagamenti e da PayPal: l'esito dell'operazione, il metodo, le ultime quattro cifre della carta, eventuali segnalazioni antifrode e le contestazioni;
- dal corriere: stato della spedizione, tentativi di consegna, giacenze, eventuali danni;
- dalla piattaforma del negozio: dati tecnici di sicurezza e valutazioni di rischio sugli ordini;
- da Google e Facebook: le recensioni che hai pubblicato tu pubblicamente sulle nostre schede, che possiamo riprendere sul sito indicando la fonte;
- da WhatsApp: il numero e il nome del profilo con cui ci scrivi.
12. Nessuna decisione automatizzata, nessuna profilazione dei clienti
Non prendiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo significativo sulla tua persona (art. 22 GDPR). Non costruiamo profili individuali dei clienti e, in particolare, non profiliamo nessuno sulla base di informazioni relative alla salute. Gli strumenti statistici e pubblicitari, se li autorizzi, servono a misurare l'andamento del sito e delle inserzioni, non a decidere qualcosa su di te. I controlli antifrode svolti dal gestore dei pagamenti possono includere verifiche automatiche sul singolo pagamento: se un pagamento viene rifiutato puoi chiederci di verificarlo e di riesaminarlo con un intervento umano.
13. Minori
Il negozio online è rivolto a persone maggiorenni, che sole possono concludere validamente un contratto di acquisto. I servizi del sito non sono destinati a minori di 14 anni, età a partire dalla quale il consenso al trattamento per i servizi della società dell'informazione è valido in Italia (art. 2-quinquies del Codice privacy). Se ci accorgiamo di aver raccolto dati di un minore senza il consenso di chi ne esercita la responsabilità genitoriale, li cancelliamo. Se ritieni che sia accaduto, scrivici e interveniamo subito.
14. I tuoi diritti e come esercitarli
In qualsiasi momento puoi esercitare i seguenti diritti:
- Accesso (art. 15): sapere quali dati abbiamo e ottenerne copia.
- Rettifica (art. 16): correggere dati sbagliati o incompleti.
- Cancellazione (art. 17), nei casi previsti dalla legge.
- Limitazione (art. 18): sospendere l'uso dei dati mentre verifichiamo una contestazione.
- Portabilità (art. 20): ricevere in formato leggibile da un computer i dati che ci hai fornito e che trattiamo sulla base del contratto o del consenso, e farli trasmettere a un altro titolare.
- Opposizione (art. 21): opporti ai trattamenti basati sul legittimo interesse; per la pubblicità e la vendita diretta l'opposizione è sempre accolta, senza dover dare spiegazioni.
- Revoca del consenso (artt. 7, par. 3, e 9): in ogni momento e con la stessa facilità con cui l'hai dato, per la newsletter, per i cookie non tecnici, per le recensioni e per le informazioni sulla salute; la revoca non pregiudica la liceità del trattamento già svolto.
Come si fa: scrivi a info@latuaerboristeriaonline.it oppure a Erboristeria Fiordaliso, Piazza Francesco Ciusa 40, 09013 Carbonia (SU). Non serve un modulo particolare: basta dirci chi sei e cosa vuoi. Ti rispondiamo gratuitamente entro un mese; se la richiesta è complessa possiamo prorogare il termine di altri due mesi, avvisandoti (art. 12 GDPR). Se non riusciamo a capire con certezza che la richiesta viene da te, possiamo chiederti qualche elemento in più per identificarti: lo faremo con il minimo necessario, senza pretendere documenti che non servono.
Un limite che è giusto conoscere: non possiamo cancellare i dati che la legge ci obbliga a conservare, in particolare fatture e documenti contabili, prima della scadenza dei dieci anni previsti dalla normativa fiscale (art. 17, par. 3, lett. b), GDPR). In quei casi limitiamo il trattamento alla sola conservazione obbligatoria.
15. Reclamo al Garante
Se ritieni che il trattamento dei tuoi dati violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali:
Garante per la protezione dei dati personali
Piazza Venezia n. 11, 00187 Roma
Telefono: (+39) 06.696771
Email: protocollo@gpdp.it — PEC: protocollo@pec.gpdp.it
Sito: www.garanteprivacy.it
In alternativa, o in aggiunta, puoi rivolgerti all'autorità giudiziaria ordinaria. Prima di farlo, se vuoi, prova a scrivere a noi: molte questioni si risolvono in poche ore.
16. Modifiche a questa informativa
Possiamo aggiornare questa informativa quando cambiano i servizi che usiamo, la normativa o le nostre procedure. La versione in vigore è sempre quella pubblicata su questa pagina, con la data di aggiornamento in alto. Se le modifiche sono sostanziali, e in particolare se riguardano finalità nuove o i dati sulla salute, ti avvisiamo con un messaggio in evidenza sul sito e, per chi è iscritto, per email; dove la legge lo richiede ti chiederemo un nuovo consenso. Puoi chiederci copia delle versioni precedenti scrivendo a info@latuaerboristeriaonline.it.