Informativa sulla privacy

Il titolare del trattamento è:

• Davide Russo — Lotus Crochet
• Partita IVA IT03664580788
• Via Giacomo Matteotti, 7 — 50053 Empoli (FI)
• Contatti: info@lotus-crochet.it; messaggio diretto su Instagram, @lotus_crochet_art

Non è stato nominato un responsabile della protezione dei dati (DPO): non ricorrono i casi previsti dall'articolo 37 del GDPR, trattandosi di un'attività artigianale che non svolge monitoraggio sistematico né tratta categorie particolari di dati.

Questo sito raccoglie pochissimo, e quasi sempre perché sei tu a scriverlo. In concreto:

• Dati di navigazione. Come ogni sito, il server che lo ospita registra indirizzo IP, tipo di browser, pagina richiesta e momento della richiesta. Servono a far funzionare il sito, a difenderlo da abusi, a capire se qualcosa si rompe e a contare le visite in forma aggregata — su quest'ultimo punto c'è una sezione a parte nella pagina sui cookie.
• Tempi di caricamento. Uno script in fondo alla pagina cronometra quanto ha messo a comparire e a rispondere ai tuoi comandi, e manda quei tempi al fornitore di hosting. Sono millisecondi e il nome della pagina: non salva nulla nel tuo browser e non contiene niente che ti riguardi personalmente.
• Dati inseriti nel carrello. Nome e cognome del destinatario, indirizzo e-mail, indirizzo di spedizione completo (via, codice postale, città, eventuale provincia o stato, paese) e la configurazione del pezzo che hai composto. Li chiediamo per emettere la ricevuta, spedire il pacco all'indirizzo giusto, aggiornarti sulla lavorazione e sapere cosa realizzare.
• Richieste speciali. Il campo libero del configuratore: ci finisce quello che scrivi tu. Ti chiediamo di non inserirci dati che non servono all'ordine — in particolare dati sulla salute o su altre persone.
• Ticket di personalizzazione. Se scegli Sfumato, Altro o un’opzione da concordare, salviamo nome, e-mail, configurazione e messaggio con un riferimento per risponderti e pianificare il pezzo.
• Dati di pagamento. Non li vediamo mai. Numero di carta, credenziali e indirizzo di fatturazione vengono raccolti direttamente da PayPal sui suoi sistemi; a noi torna soltanto la conferma che il pagamento è andato a buon fine, con il relativo numero di riferimento.
• Messaggi su Instagram. Se ci scrivi in privato, il contenuto della conversazione resta su Instagram e lo leggiamo lì.
• Recensioni. Se ne mandi una dal modulo, salviamo il nome che hai scritto tu e il testo, e — solo se li compili — il luogo, il modello a cui si riferisce, le stelle e un recapito per poterti rispondere. Quello che compare in pagina è una versione anonimizzata: del nome pubblichiamo il nome di battesimo e la sola iniziale del cognome — «Ilaria D.» — anche se lo hai scritto per intero, insieme a luogo, modello, stelle e testo. È quello che ti chiediamo di accettare con la spunta prima di inviare. Il cognome intero e il recapito restano fuori: non vengono pubblicati mai e li vediamo soltanto noi, perché servono a ricondurre la recensione a un ordine. Nessuna recensione si vede appena arriva — resta in attesa finché non l'abbiamo letta, e possiamo anche non pubblicarla.
• Foto allegate a una recensione. Puoi allegarne una o due, e sono facoltative: se pubblichiamo la recensione compaiono accanto al testo, quindi valgono come il resto di quello che la spunta ci autorizza a mostrare. Del file conserviamo soltanto l'immagine ridisegnata dal tuo browser prima dell'invio: i dati tecnici dello scatto — e in particolare il luogo dove l'hai fatto, se il telefono lo aveva registrato — non partono affatto. Ti chiediamo di allegare foto del pezzo ricevuto e di non mandarci immagini in cui si riconoscono persone.
• Misurazione delle inserzioni, soltanto se la accetti. Se scegli «Accetto» nel banner, la pagina carica il pixel di Meta: da quel momento indirizzo IP, browser, pagine viste e le azioni che compi nel configuratore — aggiungere al carrello, avviare il pagamento, concludere l'acquisto, con il relativo importo — vengono comunicati a Meta, che li usa per dirci se le nostre inserzioni portano vendite e per mostrarle a persone più affini. Il pixel salva due cookie nel tuo browser per riconoscere la visita che arriva da un annuncio. All'acquisto concluso mandiamo a Meta anche il tuo indirizzo e-mail e il paese di spedizione, ma ridotti a un codice irreversibile (SHA-256) che serve solo a riconoscere una persona che Meta già conosce: l'indirizzo in chiaro non parte da qui. Se scegli «Rifiuto», o se non scegli affatto, tutto questo non avviene e i due cookie non vengono nemmeno creati.

Il sito non archivia gli ordini: i dati del carrello vengono usati per aprire il pagamento e lo storico resta su PayPal. Il database conserva soltanto i ticket di personalizzazione e le recensioni — con le foto che eventualmente allegri — cioè le due cose che ci mandi di tua iniziativa.

• Gestire l'ordine: realizzare il pezzo, spedirlo e tenerti aggiornato. Base giuridica: esecuzione del contratto e delle misure precontrattuali che chiedi tu (art. 6.1.b GDPR).
• Adempiere agli obblighi di legge: fatturazione, contabilità, conservazione dei documenti fiscali. Base giuridica: obbligo legale (art. 6.1.c GDPR).
• Sicurezza del sito e prevenzione degli abusi, attraverso i log del server. Base giuridica: legittimo interesse a mantenere il servizio funzionante e protetto (art. 6.1.f GDPR).
• Contare le visite in forma aggregata, per sapere se il sito viene raggiunto e quali pagine servono davvero. Si ricava dagli stessi log del server, senza cookie né identificativi, e non produce profili. Base giuridica: legittimo interesse a valutare l'andamento del sito (art. 6.1.f GDPR).
• Capire dove il sito si inceppa: contiamo i passi principali di una visita — vetrina vista, configuratore raggiunto, pezzo nel carrello, pagamento aperto — con lingua, paese, modello e la provenienza della visita (per esempio il nome dell'inserzione da cui arrivi). Le righe di una stessa pagina aperta condividono un numero casuale che vive solo nella memoria della scheda e sparisce quando la chiudi: niente nome, niente IP, niente cookie, niente che resti sul tuo dispositivo. Base giuridica: legittimo interesse a migliorare il sito e le inserzioni (art. 6.1.f GDPR).
• Sapere se il sito è abbastanza veloce su dispositivi e connessioni reali, e accorgersi se una modifica lo ha rallentato. Base giuridica: legittimo interesse a mantenerlo utilizzabile (art. 6.1.f GDPR).
• Rispondere ai ticket, alle e-mail e alle domande che arrivano via Instagram. Base giuridica: misure precontrattuali richieste dall’interessato (art. 6.1.b GDPR).
• Pubblicare in pagina le recensioni che ci mandi, con il nome ridotto all'iniziale del cognome, il luogo, il modello, le stelle e le foto che hai indicato tu. Base giuridica: il tuo consenso (art. 6.1.a GDPR), quello della spunta nel modulo; se lo revochi togliamo dal sito la recensione e le sue foto, e per farlo basta scriverci.
• Rispondere a chi ha lasciato un recapito nella recensione, se c'è qualcosa da chiarire prima di pubblicarla. Base giuridica: legittimo interesse a pubblicare soltanto recensioni verificate (art. 6.1.f GDPR).
• Capire se le inserzioni che pubblichiamo portano ordini davvero, e mostrarle a un pubblico più affine. Lo fa il pixel di Meta, e soltanto se lo accetti. Base giuridica: il tuo consenso (art. 6.1.a GDPR), che puoi revocare in ogni momento dal piè di pagina di qualsiasi pagina del sito.

Noi non profiliamo nessuno e non mandiamo newsletter: non abbiamo un archivio dei visitatori e non sapremmo da dove ricavarlo. Meta, invece, se accetti il pixel abbina il tuo passaggio da qui al profilo che già possiede e su quella base decide a chi mostrare le nostre inserzioni: per quell'attività agisce come titolare autonomo, con la propria informativa, e il consenso che ci dai è il presupposto perché i dati le arrivino. Non prendiamo decisioni automatizzate che ti riguardano, e revocare il consenso è tanto semplice quanto darlo: il comando è in fondo a ogni pagina, non serve scriverci.

I dati non vengono venduti né ceduti a fini commerciali. Li conoscono soltanto i fornitori tecnici che rendono possibile il servizio:

• Netlify, Inc. — ospita il sito, registra i log tecnici, ne ricava le statistiche aggregate delle visite, raccoglie i tempi di caricamento delle pagine, conserva il database dei ticket e delle recensioni, le foto allegate alle recensioni e i moduli usati per la gestione interna e le relative notifiche. Agisce come responsabile del trattamento.
• PayPal (Europe) S.à r.l. et Cie, S.C.A., con sede in Lussemburgo — gestisce il pagamento come titolare autonomo del trattamento, secondo la propria informativa.
• Il corriere incaricato della spedizione, che riceve i dati necessari alla consegna.
• Meta Platforms Ireland Ltd. — come titolare autonomo, in due casi distinti: se la conversazione avviene su Instagram, e — soltanto con il tuo consenso — per la misurazione delle inserzioni, che riceve le pagine viste e le azioni sul carrello dal pixel caricato nel browser e la conferma di acquisto direttamente dal nostro server.
• Il consulente fiscale e, dove previsto dalla legge, l'Amministrazione finanziaria.

Una recensione pubblicata la legge chiunque apra il sito, e le foto che le hai allegato le vede chiunque, ed è esattamente il loro scopo: il consenso che ti chiediamo è il consenso a questo. Il cognome per intero e il recapito che hai eventualmente lasciato restano fuori — non compaiono in pagina e non vengono comunicati a nessuno.

Alcuni di questi fornitori hanno sede o infrastrutture fuori dallo Spazio economico europeo. In quei casi il trasferimento avviene sulla base delle clausole contrattuali tipo approvate dalla Commissione europea o della decisione di adeguatezza EU–US Data Privacy Framework.

• Dati dell'ordine: per il tempo necessario a completarlo, e poi per i dieci anni previsti dagli obblighi civilistici e fiscali sui documenti contabili.
• Log tecnici del server: per il periodo di conservazione previsto dal fornitore di hosting, nell'ordine di alcune settimane, salvo indagini su un abuso.
• Statistiche delle visite e tempi di caricamento: restano nel pannello dell'hosting come numeri d'insieme — totali per pagina, paese e giorno, e tempi in millisecondi — senza dati che permettano di identificarti. Gli indirizzi IP da cui si ricava il conteggio dei visitatori distinti li tratta il fornitore per suo conto, con i tempi dei log qui sopra, e a noi non arrivano.
• Ticket di personalizzazione ed e-mail collegate: fino a 12 mesi dall’ultimo contatto, salvo che diventino parte di un ordine o che tu ne chieda prima la cancellazione.
• Conversazioni su Instagram: finché restano nella casella dei messaggi; puoi cancellarle tu in qualsiasi momento.
• Recensioni: quelle pubblicate restano in pagina finché non ci chiedi di toglierle, perché è il consenso che le tiene lì e revocarlo le fa sparire. Quelle che non pubblichiamo si cancellano entro 12 mesi. Il nome per intero e il recapito li conserviamo insieme alla recensione e non compaiono mai in pagina. Le foto allegate seguono la recensione: si cancellano quando si cancella lei.
• Misurazione delle inserzioni: i dati che arrivano a Meta li conserva Meta, con i propri tempi e le proprie regole, non noi — dal nostro pannello vediamo soltanto conteggi d'insieme. I due cookie che il pixel salva nel tuo browser durano al massimo tre mesi e li puoi cancellare in qualunque momento; revocare il consenso dal piè di pagina li cancella subito. La tua scelta sul banner resta salvata nel tuo browser finché non la cambi: è l'unica cosa che questo sito scrive sul tuo dispositivo, e serve a non richiederti il consenso a ogni pagina.

Puoi in ogni momento chiedere:

• di sapere se trattiamo dati che ti riguardano e di riceverne copia (accesso, art. 15);
• di correggerli se sono sbagliati o incompleti (rettifica, art. 16);
• di cancellarli, quando non abbiamo un obbligo di legge che ci impone di conservarli (art. 17);
• di limitarne il trattamento o di opporti a un trattamento fondato sul legittimo interesse (artt. 18 e 21);
• di riceverli in un formato leggibile da una macchina o di farli trasferire a un altro titolare (portabilità, art. 20).

Per esercitarli basta un messaggio diretto su Instagram a @lotus_crochet_art: rispondiamo entro un mese, come prevede l'articolo 12 del GDPR. Se preferisci un canale diverso da Instagram, chiedilo nel messaggio e concordiamo come procedere.

Se ritieni che il trattamento violi il Regolamento, puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — garanteprivacy.it) oppure rivolgerti all'autorità giudiziaria.

No, ma senza nome, indirizzo e-mail e indirizzo di spedizione non possiamo prendere in carico un ordine né emettere la ricevuta: in quel caso l'acquisto semplicemente non si può concludere. Tutto il resto del sito — configuratore compreso — si può usare liberamente senza scrivere nulla.

Il sito non è rivolto a minori di quattordici anni e non raccoglie consapevolmente i loro dati. Se ti accorgi che un minore ci ha inviato dati personali, scrivicelo: li cancelliamo.

Se cambiano gli strumenti o le finalità, questa informativa viene aggiornata e la data in cima cambia con lei. Le versioni precedenti restano nella cronologia del sito.