Informativa privacy e cookie

1. Chi tratta i tuoi dati

Il titolare del trattamento è Qalici di Gagliardi Nicoletta, impresa individuale di Nicoletta Gagliardi, con sede in Corso della Repubblica 83, 03043 Cassino (FR), partita IVA 03245620608.

• Email ordini@qalici.it
• Telefono e WhatsApp 351 584 3307

Non abbiamo nominato un responsabile della protezione dei dati: per un’attività come la nostra non è obbligatorio.

2. Quali dati, perché e per quanto tempo

Quando navighi. I server che fanno funzionare il sito registrano dati tecnici delle richieste: indirizzo IP, data e ora, pagina chiesta, tipo di browser, errori. Servono a far funzionare il sito e a difenderlo dagli abusi, sulla base del nostro legittimo interesse (art. 6 par. 1 lett. f GDPR). Li teniamo al massimo 90 giorni, salvo che servano per accertare un abuso. I registri dei server del negozio li conserva Railway negli Stati Uniti, anche se i server sono in Europa, e li cancella da sé alla scadenza (sezione 4).

Statistiche. Contiamo le visite con Vercel Web Analytics, che non usa cookie e non ti riconosce da un sito all’altro: vede solo dati aggregati, e per contare le visite di una giornata usa un’impronta calcolata dalla richiesta che viene scartata dopo 24 ore. Lo facciamo sulla base del nostro legittimo interesse a capire quali pagine servono.

Quando ordini. Per gestire l’ordine ci servono nome, cognome, email, telefono, indirizzo di consegna (o la scelta del ritiro in enoteca), i prodotti, gli importi, le note che ci lasci e, se chiedi la fattura, codice fiscale o partita IVA e codice destinatario o PEC. La base è il contratto (art. 6 par. 1 lett. b GDPR) e, per fatture e scritture contabili, un obbligo di legge (lett. c). Questi dati servono a concludere ed eseguire il contratto: senza, non possiamo accettare l’ordine. Codice fiscale, partita IVA e codice destinatario o PEC servono solo se chiedi la fattura: senza, non possiamo emetterla. Le note sono facoltative. Conserviamo ordini, fatture e corrispondenza per dieci anni, come chiede l’art. 2220 del codice civile. Quando premi il pulsante d’ordine, il sistema del negozio tiene anche un registro tecnico dei passaggi, con i dati del carrello, e lo cancella da solo dopo 3 giorni.

La dichiarazione sulla maggiore età. Quando spunti in cassa la casella sui 18 anni, registriamo la dichiarazione, la data, l’ora e la versione del testo. La legge ci vieta di vendere alcolici ai minori (art. 14-ter L. 125/2001): conserviamo la dichiarazione sulla base del nostro legittimo interesse a dimostrare di aver rispettato quel divieto (art. 6 par. 1 lett. f GDPR). Senza la dichiarazione l’ordine non parte. La conserviamo insieme all’ordine.

Il pagamento. I dati della tua carta li ricevono Stripe, non noi. A noi arrivano solo l’esito, il metodo usato e, per le carte, il circuito e le ultime cifre, che conserviamo con l’ordine.

Recesso, garanzia e reclami. Se recedi da un acquisto o ci scrivi per un problema, registriamo la tua dichiarazione o la tua richiesta con data e ora, e le nostre risposte, anche quando non riusciamo ad abbinarle a un ordine. La base è un obbligo di legge (Codice del consumo) e il contratto; le conserviamo per lo stesso tempo degli ordini.

Carrelli non completati. Se in cassa scrivi email e indirizzo ma non concludi l’ordine, quei dati restano nel carrello per permetterti di finire. Dopo 90 giorni li cancelliamo, e con loro gli indirizzi che hai cambiato in cassa e che non servono più a nessun carrello. Vale anche se hai un conto: restano solo gli indirizzi degli ordini. Non ti scriviamo per ricordarti il carrello.

Le email del negozio. Ti scriviamo solo per l’ordine: ricevuta, conferma, spedizione, ritiro, recesso, rimborso, e per il tuo conto: benvenuto con la conferma dell’email, password dimenticata. Se ci chiedi i tuoi ordini dal sito, i link vanno solo all’email dell’ordine. Il link alla pagina dell’ordine che trovi nelle email funziona per 60 giorni. Non ti mandiamo newsletter né pubblicità: se in futuro vorremo farlo, te lo chiederemo con una casella a parte, mai già spuntata.

Il tuo conto. Se ti registri, conserviamo nome, cognome, email, telefono se lo scrivi, la password in forma cifrata, la data in cui confermi l’email e la data di nascita, che inserisci quando ti iscrivi, serve solo a verificare che tu sia maggiorenne e resta finché c’è il conto. La base è il contratto, e senza questi dati non possiamo aprirti il conto; puoi sempre ordinare anche senza. Quando confermi l’email, gli ordini fatti senza accesso con quella stessa email passano al tuo conto: prima della conferma no, perché chiunque potrebbe scrivere l’email di un altro. Per cancellare il conto scrivi a ordini@qalici.it; se resta inutilizzato per 24 mesi ti scriviamo, e se non rispondi lo cancelliamo. Gli ordini restano conservati per gli obblighi di legge.

Il programma fedeltà. Per darti i punti registriamo i movimenti del tuo saldo: punti maturati, usati, tolti e scaduti, con l’ordine a cui si riferiscono. Non usiamo i tuoi acquisti per profilarti né per pubblicità. La base è il contratto, cioè il regolamento che accetti iscrivendoti; i movimenti restano finché c’è il conto, con la data dell’iscrizione e la versione del regolamento che hai accettato.

Quando ci scrivi. Se ci scrivi per email, ci chiami o ci scrivi su WhatsApp, usiamo i tuoi dati per risponderti e dare seguito alla richiesta (art. 6 par. 1 lett. b GDPR). Se scegli WhatsApp, il servizio lo gestisce WhatsApp Ireland Ltd. secondo la sua informativa. Teniamo la conversazione finché serve a chiudere la richiesta, o per lo stesso tempo dell’ordine se riguarda un acquisto.

La mappa. Nella pagina Contatti la mappa di Google si carica solo se premi il pulsante: quel clic è il tuo consenso (art. 6 par. 1 lett. a GDPR), e da quel momento Google Ireland Ltd. riceve i dati descritti nella sua informativa, tra cui l’indirizzo IP.

Copie di sicurezza. Il database del negozio ha copie di sicurezza cifrate, che servono a recuperare i dati in caso di guasto e si cancellano da sole dopo 30 giorni.

Decisioni automatizzate. Noi non prendiamo decisioni su di te basate solo su trattamenti automatizzati e non ti profiliamo. Stripe, come titolare autonomo e secondo la propria informativa, può valutare in automatico il rischio di frode di un pagamento.

3. A chi affidiamo i dati

Chi gestisce il negozio. Il negozio online lo costruisce e lo gestisce tecnicamente lo studio senzasito.it (info@senzasito.it), che per farlo funzionare e per assisterci può accedere ai dati del negozio. Il negozio funziona sui servizi di questi fornitori:

• Railway Corporation (Stati Uniti), che ospita i server e il database del negozio in Europa;
• Cloudflare, Inc. (Stati Uniti), per il dominio, l’inoltro della posta e l’archivio delle immagini, in Europa;
• Plus Five Five, Inc. (Stati Uniti), che gestisce il servizio Resend con cui partono le email del negozio;
• Vercel Inc. (Stati Uniti), che ospita le pagine del sito e conta le visite.

Chi tratta i dati per conto suo. Questi soggetti ricevono i dati che servono al loro servizio e ne sono titolari autonomi, con le loro informative:

• Stripe Payments Europe Limited (Irlanda), che gestisce i pagamenti;
• MBE (Mail Boxes Etc.) di Cassino e il corriere a cui affida il pacco, che ricevono nome, indirizzo, telefono ed email per la consegna (il centro MBE di Cassino lo gestisce AGAF Service di Silvestri Fabio e Zanfagna Adriano e C. s.a.s., P.IVA 02144290604);
• Google Ireland Ltd., che riceve le email che ci mandi, perché la nostra posta arriva in una casella Gmail, secondo la sua informativa;
• WhatsApp Ireland Ltd., solo se ci scrivi su WhatsApp, e Google Ireland Ltd. anche se carichi la mappa.

I dati contabili li vede anche chi ci assiste negli obblighi fiscali, e li comunichiamo alle autorità quando la legge lo chiede. Non vendiamo i tuoi dati e non li cediamo a nessuno per pubblicità.

4. Dati fuori dall’Unione europea

Server, database e immagini stanno in Europa, ma alcuni fornitori sono società statunitensi e possono accedere ai dati dagli Stati Uniti. I registri tecnici dei server del negozio, invece, Railway li conserva negli Stati Uniti (sezione 2). Railway, Cloudflare, Plus Five Five (Resend), Vercel e Stripe dichiarano di aderire al Data Privacy Framework UE-USA, riconosciuto adeguato dalla Commissione europea; dove i loro contratti lo prevedono valgono anche le clausole contrattuali tipo approvate dalla Commissione. Puoi chiederci una copia delle garanzie, o dove sono pubblicate, scrivendo a ordini@qalici.it.

5. Cookie e memoria del browser

Non usiamo cookie di profilazione né di pubblicità, nostri o di altri, e per questo non vedi un banner: non c’è niente da accettare. Usiamo solo questi strumenti tecnici, che servono a funzioni che chiedi tu (art. 122 D.Lgs. 196/2003 e linee guida del Garante del 10/06/2021):

• La risposta sull’età. Quando rispondi «Ho 18 anni o più», il browser la salva nella sua memoria locale (localStorage, chiave qalici-eta) per 30 giorni, così non te lo chiediamo a ogni pagina: lo dice la riga sotto il pulsante. Contiene solo la risposta e la data, resta sul tuo dispositivo e non ci arriva.
• Il carrello. Il browser tiene in memoria locale (chiave qalici-carrello-v2) il riferimento al tuo carrello e il numero di articoli, per non farti perdere quello che hai scelto.
• La pagina dell’ordine. Quando apri il link dell’ordine da una email, il browser tiene il codice d’accesso nella memoria della scheda (sessionStorage), che si svuota chiudendola. Dopo un ordine fatto senza accesso ci tiene anche l’email, per proporti di creare il conto.
• L’accesso al tuo conto. Se fai l’accesso, il negozio usa un cookie tecnico di sessione (connect.sid), illeggibile dalle pagine, che dura 24 ore o finché esci. Il browser ricorda in memoria locale (chiave qalici-conto) solo che da qui si è entrati, per non chiederlo a ogni pagina. I link per confermare l’email o cambiare la password restano nella memoria della scheda finché non li usi.
• Il pagamento. Nella sola pagina della cassa si carica il modulo di Stripe, che usa cookie tecnici per proteggere i pagamenti dalle frodi, secondo la sua informativa.
• Le statistiche di Vercel Web Analytics non usano cookie (sezione 2).
• La mappa di Google si carica solo se premi il pulsante (sezione 2).

Puoi cancellare quando vuoi la memoria del sito dalle impostazioni del browser: perderai il carrello e ti richiederemo l’età.

6. I tuoi diritti

Puoi chiederci in ogni momento l’accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità (artt. 15-20 GDPR). Dove il trattamento si basa sul consenso, puoi revocarlo quando vuoi, senza che questo tocchi quello che è stato fatto prima. Alcuni dati non possiamo cancellarli prima del tempo perché la legge ci chiede di conservarli, per esempio le fatture. I registri tecnici dei server restano fino a 90 giorni anche se ci chiedi di cancellarli: il fornitore li cancella da sé alla scadenza (sezione 2).

Il tuo diritto di opporti. Per motivi legati alla tua situazione puoi opporti in qualsiasi momento ai trattamenti che facciamo sulla base del nostro legittimo interesse (art. 21 GDPR). Vale per i dati tecnici che registriamo quando navighi, per le statistiche delle visite e per la conservazione della dichiarazione sulla maggiore età. Se ti opponi smettiamo di trattare quei dati, salvo che dimostriamo un motivo legittimo più forte dei tuoi interessi o che ci servano per difendere un diritto in giudizio. Scrivici a ordini@qalici.it.

Per esercitare i tuoi diritti scrivi a ordini@qalici.it: ti rispondiamo entro un mese dalla richiesta (art. 12 GDPR). Se pensi che trattiamo i tuoi dati in modo non corretto, puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o rivolgerti al giudice.

7. Minori

Il negozio vende alcolici ed è riservato ai maggiorenni. Non raccogliamo consapevolmente dati di minori: se ti accorgi che è successo, scrivici e li cancelliamo.

8. Modifiche

Se cambia il modo in cui trattiamo i dati, cambia prima questa pagina, con la data aggiornata in alto.