GDPR

1. Quadro normativo e finalità

Il Regolamento generale sulla protezione dei dati (GDPR), applicabile dal 25 maggio 2018, costituisce il principale riferimento europeo per la tutela delle informazioni personali.

La normativa disciplina la responsabilità dei soggetti che trattano dati, la trasparenza delle operazioni, la legittimità del trattamento e il controllo esercitabile dagli interessati.

Prevede inoltre misure per ridurre i rischi di accesso illecito, perdita, divulgazione o utilizzo improprio delle informazioni.

In Italia, la vigilanza è esercitata dalle autorità competenti secondo le rispettive attribuzioni.

Questa pagina presenta i principi GDPR pertinenti alle attività di commercio elettronico del sito.

2. Ambito territoriale e soggetti interessati

Il GDPR riguarda i trattamenti di dati personali rientranti nel suo campo di applicazione, comprese le attività svolte nell'Unione europea.

Può inoltre interessare soggetti stabiliti al di fuori dell'UE quando, secondo le condizioni previste dall'articolo 3 del Regolamento:

• Offrono beni o servizi a persone che si trovano in Italia o in altri Stati dell'Unione.

• Monitorano il comportamento di persone situate nel territorio europeo.

Le attività esclusivamente personali o domestiche sono generalmente escluse dall'ambito del Regolamento.

3. Principi applicabili al trattamento

Le operazioni che coinvolgono dati personali devono rispettare i principi previsti dall'articolo 5 del GDPR.

Liceità, correttezza e trasparenza

• Ogni trattamento richiede una base giuridica appropriata e informazioni comprensibili per l'interessato.

Limitazione delle finalità

• I dati vengono raccolti per scopi determinati, espliciti e legittimi. Eventuali utilizzi successivi devono risultare compatibili con tali finalità o fondarsi su condizioni giuridiche adeguate.

Minimizzazione dei dati

• Le informazioni trattate devono essere pertinenti e limitate a quanto necessario per attività quali ordini, pagamenti, spedizioni, assistenza, comunicazioni e adempimenti normativi.

Esattezza e aggiornamento

• Quando necessario, vengono adottate misure ragionevoli per correggere o aggiornare informazioni inesatte.

Limitazione della conservazione

• La durata della conservazione dipende dagli scopi del trattamento e dagli obblighi applicabili. Quando vengono meno le condizioni che ne giustificano l'utilizzo, i dati possono essere cancellati, anonimizzati o sottoposti a limitazioni.

Integrità e riservatezza

• Le misure di protezione devono essere proporzionate ai rischi di perdita, accesso non autorizzato, divulgazione o alterazione delle informazioni.

4. Basi giuridiche per l'utilizzo dei dati

L'articolo 6 del GDPR individua differenti condizioni che possono rendere lecito il trattamento.

Esecuzione contrattuale

• Può riguardare la registrazione degli ordini, la verifica dei pagamenti, la consegna dei prodotti e la gestione di resi, rimborsi e assistenza.

Adempimento di obblighi legali

• Può giustificare il trattamento di documentazione fiscale, registrazioni contabili, informazioni sulle transazioni e dati richiesti dalle autorità competenti.

Legittimo interesse

• Quando sussistono le condizioni previste e viene effettuata la necessaria valutazione degli interessi coinvolti, può riguardare sicurezza informatica, prevenzione delle frodi, identificazione di accessi anomali e continuità operativa.

Consenso dell'interessato

• Quando richiesto dalla legge, può costituire la base per strumenti analitici non essenziali, memorizzazione di preferenze, Cookie pubblicitari e determinate attività di marketing.

• La base giuridica effettiva dipende dalla finalità e dalle caratteristiche di ciascuna operazione.

5. Diritti delle persone interessate

Il GDPR riconosce specifiche facoltà esercitabili secondo i requisiti e le eccezioni previsti dalla normativa.

• Diritto di accesso: conoscere le modalità di trattamento e ottenere le informazioni o i dati pertinenti.

• Diritto di rettifica: richiedere la correzione di informazioni inesatte e l'integrazione di quelle incomplete.

• Diritto alla cancellazione: domandare l'eliminazione dei dati quando ricorrono i presupposti legali.

• Diritto di limitazione: ottenere, nei casi previsti, restrizioni su determinate operazioni di trattamento.

• Diritto alla portabilità: ricevere i dati applicabili in un formato strutturato, comunemente utilizzato e leggibile da dispositivo automatico.

• Diritto di opposizione: contestare determinati trattamenti, inclusi quelli fondati sul legittimo interesse, alle condizioni stabilite dal GDPR.

• Revoca del consenso: ritirare l'autorizzazione precedentemente espressa per i trattamenti che si basano su tale presupposto.

La revoca non compromette la liceità delle operazioni svolte prima della sua comunicazione.

L'esercizio dei diritti rimane soggetto alle condizioni, alle limitazioni e alle eccezioni previste dalla normativa applicabile.

I servizi del sito non sono destinati a utenti di età inferiore ai 18 anni.

6. Ruoli e responsabilità nel trattamento

Titolare del trattamento

• È il soggetto che determina le finalità e i mezzi essenziali delle operazioni sui dati personali e assume le responsabilità previste dal GDPR.

• Per le attività nelle quali stabilisce tali finalità e modalità, il sito opera come titolare del trattamento, salvo diversa indicazione.

Responsabile del trattamento

• Un fornitore esterno può trattare informazioni personali per conto del titolare, sulla base di istruzioni documentate e degli accordi richiesti dall'articolo 28 del GDPR.

• Gli obblighi dipendono dal ruolo effettivamente svolto e dalla natura del servizio.

7. Sicurezza e gestione delle richieste

Le misure tecniche e organizzative possono essere definite considerando tipologia dei dati, modalità operative e livello di rischio.

Tra gli strumenti utilizzabili rientrano:

• Protezione dei dati durante la trasmissione.

• Autenticazione e controllo degli accessi.

• Gestione delle autorizzazioni.

• Registrazione e monitoraggio degli eventi.

• Aggiornamenti di sicurezza.

• Procedure interne di protezione delle informazioni.

Le misure possono essere riviste in relazione ai cambiamenti tecnologici e ai rischi individuati.

Per gestire una richiesta relativa ai diritti GDPR, possono essere domandate informazioni strettamente necessarie a verificare l'identità del richiedente e il collegamento con i dati interessati.

8. Violazioni dei dati e valutazione dei rischi

In caso di incidente che coinvolga dati personali, la gestione può comprendere verifiche tecniche, analisi delle conseguenze, contenimento degli accessi, interventi correttivi e aggiornamento delle misure di sicurezza.

Quando ricorrono i presupposti dell'articolo 33 del GDPR, la violazione deve essere notificata all'autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza dell'evento.

Se la violazione presenta un rischio elevato per i diritti e le libertà delle persone fisiche, si applicano gli obblighi di comunicazione agli interessati previsti dall'articolo 34, salvo le eccezioni legali.

In funzione delle attività e dei rischi possono inoltre essere necessari registri dei trattamenti, valutazioni d'impatto sulla protezione dei dati o ulteriori misure previste dal Regolamento.

9. Trasferimenti internazionali di informazioni

L'utilizzo di servizi tecnologici o fornitori esterni può comportare il trasferimento di dati personali al di fuori dello Spazio Economico Europeo (SEE).

Tali operazioni sono soggette alle disposizioni del Capo V del GDPR.

I meccanismi applicabili possono comprendere:

• Decisioni di adeguatezza adottate dalla Commissione europea.

• Clausole contrattuali standard (SCC).

• Altri strumenti giuridici riconosciuti dalla normativa.

In relazione alla destinazione, alla natura delle informazioni e ai rischi, possono essere necessarie misure supplementari, come cifratura e limitazioni degli accessi.

Le condizioni concrete dipendono dai servizi effettivamente utilizzati e dalle caratteristiche del trasferimento.

10. Cookie, statistiche e strumenti pubblicitari

Cookie e tecnologie equivalenti possono essere impiegati per il funzionamento del sito, la memorizzazione delle preferenze, l'analisi delle prestazioni e le attività pubblicitarie.

Quando previsto dalla normativa, l'utilizzo di strumenti non essenziali e il relativo trattamento dei dati richiedono un consenso valido e preventivo.

Le preferenze devono poter essere modificate o revocate attraverso le modalità di gestione disponibili sul sito.

Per determinate funzionalità pubblicitarie e di misurazione, Google prevede requisiti specifici relativi al consenso degli utenti nello Spazio Economico Europeo e alla comunicazione dello stato delle relative scelte.

Riferimenti utili:

• Politica sui Cookie

• Impostazioni Cookie

• Norme sulla privacy di Google

• Norme relative al consenso degli utenti dell'Unione europea di Google

11. Autorità di controllo e reclami

In Italia, il Garante per la protezione dei dati personali esercita le competenze di vigilanza attribuite dalla normativa.

In presenza di violazioni, le autorità competenti possono adottare provvedimenti proporzionati, tra cui:

• Richieste di adeguamento.

• Limitazioni o divieti di specifici trattamenti.

• Altre misure correttive.

• Sanzioni amministrative pecuniarie.

Le conseguenze dipendono dalla natura, dalla gravità, dalla durata della violazione e dagli ulteriori criteri previsti dal GDPR.

Chi ritiene che il trattamento dei propri dati non sia conforme alla normativa può presentare reclamo al Garante per la protezione dei dati personali o a un'altra autorità di controllo competente.

12. Applicazione del GDPR al commercio elettronico

Nelle attività di vendita online, la protezione dei dati può interessare diverse operazioni:

• Registrazione e gestione degli account.

• Elaborazione degli acquisti.

• Verifica delle transazioni.

• Spedizioni e informazioni di consegna.

• Assistenza e comunicazioni post-vendita.

• Sicurezza del sito.

• Analisi della navigazione e Cookie.

• Misurazione e gestione delle attività pubblicitarie.

L'indicazione delle finalità, delle basi giuridiche e dei diritti degli interessati contribuisce alla trasparenza del trattamento.

Le modalità operative devono inoltre essere valutate rispetto ai requisiti di Google Merchant Center, Google Ads e degli eventuali fornitori esterni utilizzati.

Le regole delle piattaforme e il GDPR costituiscono sistemi distinti: il rispetto di uno non comporta automaticamente la conformità all'altro.

13. Contatti per l'esercizio dei diritti

Per informazioni sul trattamento dei dati personali o per presentare richieste relative ai diritti previsti dal GDPR è disponibile il seguente recapito:

Email: clientcare@namcelo.com

Le richieste vengono esaminate in base al loro contenuto, alle eventuali necessità di verifica dell'identità e alle disposizioni applicabili.

Qualora sussistano dubbi sulla liceità del trattamento, è inoltre possibile rivolgersi al Garante per la protezione dei dati personali o a un'altra autorità competente.

14. Informazioni sul titolare e documentazione applicabile

Salvo diversa indicazione, il sito assume il ruolo di titolare per i trattamenti dei quali determina finalità e mezzi.

La gestione dei dati personali deve essere valutata in relazione ai principi di trasparenza, minimizzazione, sicurezza, limitazione della conservazione e tutela dei diritti degli interessati.

Le basi giuridiche vengono individuate secondo le effettive finalità del trattamento.

Questa pagina costituisce una sintesi informativa del GDPR e non sostituisce la documentazione relativa alle singole operazioni.

Per conoscere categorie di dati, finalità specifiche, tempi di conservazione, servizi esterni e trasferimenti internazionali, consultare l'Informativa sulla Privacy, la Informativa sui Cookie e le informazioni relative ai trattamenti effettivamente svolti.