Privacy Policy

Indice

1. Titolare del trattamento

Titolare del trattamento dei dati personali è SpediamoFacile S.r.l. (di seguito il "Titolare").

Per qualsiasi richiesta relativa al trattamento dei propri dati personali è possibile scrivere a privacy@spediamofacile.it. Tempo massimo di risposta alle richieste degli interessati: 30 giorni (Art. 12.3 GDPR), prorogabile di ulteriori 60 giorni in caso di particolare complessità, previa comunicazione motivata.

2. Dati personali raccolti

Il sito raccoglie e tratta esclusivamente le categorie di dati strettamente necessarie alle finalità di seguito indicate. In nessun caso vengono richiesti né trattati dati appartenenti a categorie particolari (art. 9 GDPR: salute, opinioni politiche, religiose, ecc.) salvo esplicito conferimento volontario dell'interessato.

Dati identificativi: nome, cognome, ragione sociale, codice fiscale, partita IVA.
Dati di contatto: indirizzo e-mail, numero di telefono fisso e mobile, indirizzo postale.
Dati di fatturazione: ragione sociale, sede, codice destinatario SDI o PEC per fatturazione elettronica.
Dati di spedizione: indirizzi di ritiro e consegna, riferimenti del destinatario, peso, dimensioni e descrizione del contenuto del collo.
Dati di navigazione: indirizzo IP, user agent, pagine visitate, timestamp di accesso, referrer (raccolti in forma pseudonimizzata).
Dati di pagamento: i numeri di carta non transitano né sono conservati sui nostri server. Vengono trattati direttamente da Stripe Payments Europe Ltd. (PCI-DSS Level 1) tramite tokenizzazione.

3. Finalità del trattamento

I dati personali raccolti vengono trattati esclusivamente per le seguenti finalità, ciascuna corrispondente a una specifica base giuridica indicata nella sezione 4.

Esecuzione del contratto: elaborazione del preventivo, gestione dell'ordine, prenotazione del ritiro presso BRT, emissione della lettera di vettura, monitoraggio della consegna, assistenza post-vendita.
Adempimenti fiscali e contabili: emissione di fattura elettronica, conservazione sostitutiva ai sensi del DPR 633/72 e del D.M. 17/06/2014.
Comunicazioni di servizio: notifiche transazionali relative allo stato della spedizione (presa in carico, transito, consegna, anomalie).
Marketing diretto: invio di newsletter e comunicazioni commerciali su prodotti e servizi analoghi, esclusivamente previo consenso esplicito e revocabile in qualsiasi momento.
Miglioramento del servizio: analisi statistiche aggregate e anonime sull'utilizzo della piattaforma, A/B testing, ricerca utenti.
Prevenzione frodi: verifica antifrode in fase di pagamento (Stripe Radar) e tutela contro accessi non autorizzati.

4. Base giuridica del trattamento

Ogni operazione di trattamento si fonda su una specifica base giuridica prevista dall'art. 6 GDPR.

Esecuzione di un contratto o misure precontrattuali (art. 6.1.b GDPR): per l'erogazione del servizio di intermediazione spedizioni e la gestione dell'account.
Adempimento di un obbligo legale (art. 6.1.c GDPR): per fatturazione, conservazione documentale e comunicazioni alle autorità competenti su richiesta.
Consenso dell'interessato (art. 6.1.a GDPR): per finalità di marketing diretto, profilazione, cookie non tecnici. Il consenso è sempre libero, specifico, informato e revocabile.
Legittimo interesse del titolare (art. 6.1.f GDPR): per analisi statistiche aggregate, prevenzione frodi e sicurezza informatica, previo bilanciamento con i diritti dell'interessato.

5. Destinatari dei dati (sub-processor)

I dati personali possono essere comunicati ai seguenti destinatari, designati responsabili del trattamento ex art. 28 GDPR mediante apposito DPA (Data Processing Agreement). Non avviene alcuna vendita né cessione a terzi per finalità commerciali estranee al servizio.

BRT S.p.A. (Bartolini, vettore principale): dati di mittente, destinatario, peso, dimensioni e indirizzi necessari all'esecuzione del trasporto.
Stripe Payments Europe Ltd.: dati di pagamento (in via tokenizzata) e antifrode.
Resend, Inc. (sub-processor AWS SES): invio email transazionali (conferme ordine, tracking, fatture).
Render Services Inc.: hosting infrastruttura applicativa.
Backblaze, Inc.: backup cifrati del database.
Sentry: error monitoring tecnico (con scrubbing dei PII configurato).
Plausible Analytics: statistiche aggregate cookie-less, hosting UE.
Cloudflare, Inc.: Turnstile, verifica anti-bot sui form sensibili (es. registrazione).
Consulenti fiscali e legali esterni: in qualità di responsabili autonomi, vincolati al segreto professionale.
Autorità giudiziarie e di pubblica sicurezza: solo su richiesta formale e nei limiti previsti dalla legge.

6. Trasferimento dei dati verso paesi extra-UE

Alcuni sub-processor (Stripe, Resend, Render, Sentry, Cloudflare) possono trattare i dati anche in paesi al di fuori dello Spazio Economico Europeo, in particolare negli Stati Uniti d'America.

Per garantire un livello di protezione adeguato, tutti i trasferimenti extra-UE avvengono nel rispetto delle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea con Decisione di esecuzione 2021/914/UE, integrate ove pertinente dall'EU-US Data Privacy Framework (decisione di adeguatezza del 10/07/2023).

L'elenco completo e aggiornato dei DPA sottoscritti con i sub-processor è disponibile su richiesta scrivendo a privacy@spediamofacile.it.

7. Periodo di conservazione

I dati personali vengono conservati per il tempo strettamente necessario alle finalità per cui sono stati raccolti e nel rispetto dei termini imposti dalla normativa.

Dati di fatturazione e contabilità: 10 anni dalla data di emissione (art. 2220 c.c. e DPR 633/72).
Dati relativi all'account utente: per tutta la durata del rapporto contrattuale e per ulteriori 24 mesi dalla cessazione, salvo diversa richiesta dell'interessato.
Dati di spedizione: 5 anni dalla consegna, per finalità di reclamo e contenzioso col vettore.
Log di sicurezza e accesso: 24 mesi (provvedimento Garante n. 13/2008 e successivi aggiornamenti).
Dati raccolti previo consenso (marketing): fino alla revoca del consenso o, in mancanza, 24 mesi dall'ultima interazione.
Cookie: secondo le durate indicate nella Cookie Policy.

8. Diritti dell'interessato

L'interessato può esercitare in qualsiasi momento, senza formalità e a titolo gratuito, i seguenti diritti previsti dagli articoli 15-22 GDPR.

Diritto di accesso (art. 15): ottenere conferma del trattamento e copia dei dati.
Diritto di rettifica (art. 16): correggere dati inesatti o incompleti.
Diritto alla cancellazione o "all'oblio" (art. 17): ottenere la cancellazione quando non più necessari o trattati illecitamente.
Diritto di limitazione (art. 18): chiedere la sospensione del trattamento in determinati casi.
Diritto di opposizione (art. 21): opporsi al trattamento per motivi connessi alla propria situazione, in particolare per marketing diretto.
Diritto alla portabilità (art. 20): ricevere i dati in formato strutturato, di uso comune e leggibile da dispositivo automatico.
Diritto di revoca del consenso (art. 7.3): revocabile in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.
Diritto di reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it) o all'autorità di controllo competente.
Utenti residenti in California (CCPA): diritto di sapere quali dati personali sono raccolti, di richiederne cancellazione, di opporsi alla "vendita" dei dati (non praticata) e diritto alla non discriminazione per l'esercizio di tali diritti.

10. Contatti per la privacy

Per esercitare i diritti previsti dagli artt. 15-22 GDPR, per richieste di informazioni o per segnalare presunte violazioni, è possibile scrivere a privacy@spediamofacile.it.

Tempo massimo di risposta: 30 giorni dal ricevimento (Art. 12.3 GDPR). In caso di mancata risposta o riscontro non soddisfacente è sempre possibile rivolgersi al Garante per la Protezione dei Dati Personali, Piazza Venezia 11, 00187 Roma.

Informativa sulla privacy