Informativa sul GDPR e sulla Protezione dei Dati Personali

1. Ambito di applicazione e principi di protezione dei dati personali

La presente Informativa sul GDPR e sulla Protezione dei Dati Personali descrive i principi, le finalità e le condizioni applicabili al trattamento dei dati personali nell'ambito dei servizi di acquisto online offerti attraverso il sito Zinorsahome, rivolto ai consumatori in Italia.

L'informativa riguarda le attività connesse alla navigazione, alla consultazione dei prodotti, all'invio degli ordini, alla conferma dei pagamenti, alla spedizione e consegna degli articoli, all'assistenza clienti e alla gestione delle richieste di reso e rimborso.

Il trattamento dei dati personali deve rispettare i principi stabiliti dall'articolo 5 del Regolamento (UE) 2016/679, noto come Regolamento Generale sulla Protezione dei Dati (GDPR).

In particolare, seguiamo i seguenti principi nelle attività di trattamento pertinenti ai nostri servizi:

Liceità, correttezza e trasparenza: i dati personali devono essere trattati sulla base di un fondamento giuridico valido, in modo corretto e comprensibile per gli interessati.
Limitazione delle finalità: i dati devono essere raccolti per scopi determinati, espliciti e legittimi e non utilizzati per finalità incompatibili con quelle originarie.
Minimizzazione dei dati: le informazioni trattate devono essere adeguate, pertinenti e limitate a quanto necessario per le finalità previste.
Esattezza: i dati personali devono essere accurati e, quando necessario, aggiornati. Le informazioni inesatte devono essere rettificate o cancellate secondo le disposizioni applicabili.
Limitazione della conservazione: i dati devono essere conservati per un periodo non superiore a quello necessario alle finalità del trattamento, salvo ulteriori obblighi previsti dalla legge.
Integrità e riservatezza: i dati devono essere trattati con un livello di sicurezza adeguato ai rischi, per proteggerli da accessi non autorizzati, perdita, alterazione o divulgazione illecita.
Responsabilizzazione: il titolare del trattamento deve essere in grado di dimostrare il rispetto dei principi applicabili.

La raccolta e l'utilizzo dei dati personali devono essere limitati alle informazioni pertinenti alle attività effettivamente richieste dagli utenti.

Il trattamento deve perseguire finalità chiare e legittime, nel rispetto dei diritti e delle libertà fondamentali degli interessati.

2. Finalità del trattamento, categorie di dati e basi giuridiche

Nell'ambito dei servizi di commercio elettronico, possiamo trattare le informazioni personali necessarie alla gestione degli acquisti e delle richieste degli utenti.

Le principali categorie di dati pertinenti comprendono:

Dati identificativi: nome, cognome e informazioni necessarie per identificare il cliente e il relativo ordine.
Informazioni di contatto: l'indirizzo email e il numero di telefono (facoltativo) forniti vengono utilizzati per gestire le richieste di acquisto e di assistenza.
Dati di consegna: indirizzo di spedizione e informazioni necessarie per organizzare il trasporto dei prodotti.
Dati relativi agli ordini: articoli acquistati, quantità, importi, numeri degli ordini e informazioni sulle operazioni effettuate.
Dati relativi ai pagamenti: informazioni strettamente necessarie per verificare l'esito delle transazioni e gestire eventuali rimborsi, nei limiti dei dati effettivamente disponibili.
Dati relativi all'assistenza: comunicazioni inviate dai clienti, richieste di informazioni, segnalazioni e dati relativi a resi e rimborsi.
Dati tecnici di navigazione: indirizzo IP, tipologia di browser, informazioni sul dispositivo e altri dati tecnici, nella misura in cui siano effettivamente trattati per il funzionamento e la sicurezza del sito.

Il conferimento delle informazioni indispensabili per identificare l'ordine, verificare il pagamento e organizzare la consegna è necessario per completare il servizio richiesto.

La mancata comunicazione di tali dati può impedire l'elaborazione dell'acquisto o l'esecuzione del servizio.

Le informazioni non necessarie all'esecuzione del contratto o all'adempimento di obblighi legali possono essere trattate soltanto quando sussiste un'altra base giuridica valida.

Ai sensi dell'articolo 6 del GDPR, le basi giuridiche del trattamento sono individuate in relazione alle finalità e alle circostanze effettive.

Esecuzione di un contratto — Articolo 6, paragrafo 1, lettera b), GDPR.

Trattiamo i dati necessari per gestire gli ordini, verificare i pagamenti, organizzare le consegne e fornire i servizi direttamente collegati agli acquisti.

Questa base giuridica si applica quando il trattamento è necessario per l'esecuzione di un contratto con il cliente o per adottare misure precontrattuali richieste dall'interessato.

Adempimento di un obbligo legale — Articolo 6, paragrafo 1, lettera c), GDPR.

Alcune informazioni possono essere trattate e conservate per rispettare gli obblighi previsti dalla normativa applicabile, compresi quelli fiscali, contabili e relativi alla documentazione delle transazioni.

Legittimo interesse — Articolo 6, paragrafo 1, lettera f), GDPR.

Quando ricorrono le condizioni previste dalla legge, determinati dati possono essere trattati per finalità connesse alla sicurezza del sito, alla protezione delle operazioni e alla prevenzione di utilizzi impropri dei servizi.

Tali trattamenti devono essere necessari e proporzionati. Gli interessi perseguiti devono essere valutati rispetto ai diritti e alle libertà fondamentali degli interessati.

Consenso dell'interessato — Articolo 6, paragrafo 1, lettera a), GDPR.

Quando una specifica attività richiede il consenso, il trattamento può essere effettuato soltanto dopo aver acquisito una manifestazione di volontà libera, specifica, informata e inequivocabile.

Questa base giuridica può riguardare, quando effettivamente utilizzati, cookie non necessari o altre tecnologie per le quali è prevista l'autorizzazione dell'utente.

Il consenso può essere revocato in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca.

Comunicazione dei dati ai destinatari

Quando necessario per eseguire un ordine o fornire un servizio richiesto, alcuni dati personali possono essere comunicati a soggetti effettivamente coinvolti nelle relative operazioni.

Tra le possibili categorie di destinatari rientrano i prestatori di servizi di pagamento, i soggetti incaricati della spedizione e della consegna e gli eventuali fornitori di servizi tecnici necessari al funzionamento del sito.

La comunicazione deve essere limitata ai dati pertinenti alle specifiche finalità.

Quando un soggetto tratta dati personali per nostro conto, devono essere rispettati gli obblighi applicabili previsti dall'articolo 28 del GDPR.

Le informazioni sui destinatari effettivi devono essere rese disponibili agli interessati secondo gli obblighi di trasparenza previsti dalla normativa.

3. Conservazione dei dati e misure di protezione

Principi di conservazione

I dati personali vengono conservati per il periodo necessario al raggiungimento delle finalità per le quali sono trattati, salvo che la normativa applicabile richieda o consenta un'ulteriore conservazione.

I criteri di conservazione dipendono dalla natura delle informazioni, dalle finalità del trattamento e dagli eventuali obblighi legali applicabili.

In particolare:

Dati relativi agli ordini e alle consegne: vengono conservati per il periodo necessario alla gestione degli acquisti e agli obblighi legali eventualmente applicabili.
Dati relativi alle transazioni e ai rimborsi: vengono conservati secondo le necessità di gestione dei pagamenti e gli obblighi fiscali e contabili pertinenti.
Comunicazioni relative all'assistenza: vengono conservate per il tempo necessario a gestire le richieste e, quando applicabile, a tutelare i diritti connessi.
Dati tecnici di navigazione: vengono conservati per periodi proporzionati alle finalità operative e di sicurezza che ne giustificano il trattamento.

I periodi effettivi di conservazione devono essere determinati considerando le caratteristiche concrete dei trattamenti e le disposizioni applicabili.

Quando i dati non sono più necessari e non sussistono ulteriori motivi legittimi per conservarli, devono essere cancellati, resi anonimi o altrimenti trattati secondo la normativa.

Sicurezza dei dati personali

Ai sensi dell'articolo 32 del GDPR, il trattamento dei dati personali richiede misure tecniche e organizzative adeguate al livello di rischio.

La valutazione delle misure necessarie deve considerare la natura dei dati, le finalità del trattamento, le modalità operative e i possibili rischi per i diritti e le libertà degli interessati.

Gli obiettivi di protezione comprendono:

Ridurre il rischio di accessi non autorizzati ai dati personali.
Proteggere la riservatezza e l'integrità delle informazioni trattate.
Limitare l'accesso ai dati in funzione delle effettive necessità operative.
Prevenire, per quanto ragionevolmente possibile, la divulgazione, la modifica o la distruzione illecita delle informazioni.
Valutare e gestire i rischi pertinenti alle attività di trattamento.

Le misure concretamente adottate devono essere appropriate rispetto ai rischi effettivi e agli obblighi previsti dalla normativa.

Nessuna misura può essere considerata una garanzia assoluta contro ogni possibile incidente di sicurezza.

Qualora si verifichi una violazione dei dati personali, devono essere valutati e rispettati gli eventuali obblighi di documentazione, notifica e comunicazione previsti dagli articoli 33 e 34 del GDPR.

Cookie e dati tecnici

L'eventuale trattamento di dati personali attraverso cookie o tecnologie analoghe deve rispettare le disposizioni applicabili in materia di trasparenza, base giuridica e consenso.

Le categorie di cookie, le relative finalità, i criteri di conservazione e le modalità di gestione delle preferenze sono descritti nella nostra Informativa sui Cookie.

I cookie non necessari soggetti a consenso possono essere utilizzati soltanto nel rispetto delle condizioni previste dalla normativa.

4. Diritti degli interessati e modalità di esercizio

Ai sensi degli articoli da 12 a 22 del GDPR, gli utenti possono esercitare i diritti riconosciuti dalla normativa sulla protezione dei dati personali, nei casi e alle condizioni applicabili.

Diritto di accesso.

L'interessato può richiedere conferma dell'esistenza di un trattamento dei propri dati personali, ricevere informazioni sulle relative modalità e ottenere una copia dei dati nei casi previsti dalla legge.

Diritto di rettifica.

L'interessato può richiedere la correzione di dati personali inesatti o l'integrazione di informazioni incomplete.

Diritto alla cancellazione.

Nei casi previsti dall'articolo 17 del GDPR, l'interessato può richiedere la cancellazione dei propri dati personali.

Questo diritto non è assoluto. Determinate informazioni possono essere conservate quando ciò è necessario per adempiere a obblighi legali o per altre ragioni riconosciute dalla normativa applicabile.

Diritto di limitazione del trattamento.

L'interessato può richiedere la limitazione di determinate attività di trattamento quando ricorrono le condizioni previste dall'articolo 18 del GDPR.

Diritto alla portabilità dei dati.

Quando sussistono i requisiti previsti dall'articolo 20 del GDPR, l'interessato può ricevere i dati personali che lo riguardano in un formato strutturato, di uso comune e leggibile da dispositivo automatico.

Può inoltre richiederne la trasmissione a un altro titolare del trattamento, ove tecnicamente fattibile e alle condizioni previste dalla legge.

Diritto di opposizione.

L'interessato può opporsi a determinati trattamenti dei propri dati personali nei casi previsti dall'articolo 21 del GDPR, in particolare quando il trattamento si basa su un legittimo interesse.

Diritto di revoca del consenso.

Quando il trattamento si basa sul consenso, l'interessato può revocarlo in qualsiasi momento.

La revoca non pregiudica la liceità del trattamento effettuato sulla base di un consenso validamente prestato prima della revoca.

Diritti relativi alle decisioni automatizzate.

Nei casi previsti dall'articolo 22 del GDPR, l'interessato ha il diritto di non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o incida in modo analogamente significativo sulla sua persona, fatte salve le eccezioni previste dalla legge.

Questa disposizione non implica che il sito utilizzi effettivamente sistemi decisionali automatizzati o strumenti di profilazione.

Diritto di reclamo.

L'interessato può proporre reclamo a un'autorità di controllo competente in materia di protezione dei dati personali, incluso, quando pertinente, il Garante per la protezione dei dati personali in Italia.

Come esercitare i propri diritti

Per esercitare i diritti previsti dal GDPR, l'utente può inviare una richiesta all'indirizzo:

E-mail: cs@zinorsahome.com.

È consigliabile descrivere chiaramente la richiesta e fornire le informazioni strettamente necessarie per identificare i dati interessati.

Quando sussistono ragionevoli dubbi sull'identità del richiedente, potranno essere richieste informazioni aggiuntive proporzionate, esclusivamente per effettuare le verifiche necessarie.

Le richieste vengono esaminate secondo le disposizioni applicabili. Forniremo una risposta senza ingiustificato ritardo e, di norma, entro un mese dal ricevimento.

Quando necessario, tenendo conto della complessità o del numero delle richieste, il termine può essere prorogato di ulteriori due mesi, conformemente all'articolo 12 del GDPR.

In tal caso, informeremo l'interessato della proroga e delle relative motivazioni entro un mese dal ricevimento della richiesta.

L'esercizio dei diritti è generalmente gratuito, salvo i casi espressamente previsti dalla normativa.

5. Trattamenti internazionali e normativa applicabile

Applicazione del GDPR

Il nostro sito offre servizi di acquisto online rivolti ai consumatori in Italia, con consegna su tutto il territorio italiano.

Quando ricorrono le condizioni previste dall'articolo 3 del Regolamento (UE) 2016/679, il trattamento dei dati personali effettuato nell'ambito di tali servizi è soggetto al GDPR, anche qualora il soggetto responsabile del trattamento sia stabilito al di fuori dell'Unione europea.

Normativa italiana

Si applicano inoltre, per gli aspetti pertinenti, le disposizioni del Decreto Legislativo 30 giugno 2003, n. 196 — Codice in materia di protezione dei dati personali, e successive modifiche.

Le attività di trattamento devono rispettare anche le disposizioni e le indicazioni applicabili del Garante per la protezione dei dati personali.

Trasferimenti internazionali di dati personali

Il nostro indirizzo di contatto si trova in Giappone. Tale circostanza non determina automaticamente il luogo di conservazione dei dati personali né dimostra, da sola, l'esistenza di uno specifico trasferimento internazionale.

Qualora i dati personali siano trasferiti verso Paesi situati al di fuori dello Spazio Economico Europeo, devono essere rispettate le condizioni previste dal Capo V del GDPR.

In relazione alla destinazione e alle circostanze concrete, il trasferimento può basarsi su una decisione di adeguatezza della Commissione europea, quando applicabile, oppure su altre garanzie o condizioni previste dalla normativa.

L'esistenza di una decisione di adeguatezza relativa a un determinato Paese non esonera dal rispetto degli altri obblighi applicabili al trattamento dei dati personali.

Quando si verificano trasferimenti internazionali, gli interessati devono ricevere le informazioni richieste dalla normativa, comprese quelle relative ai Paesi destinatari, alle categorie di destinatari e alle garanzie applicabili.

È possibile scrivere al nostro indirizzo e-mail per richiedere informazioni riguardanti eventuali trasferimenti e le relative garanzie.

Identificazione del titolare del trattamento

Ai sensi del GDPR, il titolare del trattamento è il soggetto che, individualmente o insieme ad altri, determina le finalità e i mezzi del trattamento dei dati personali.

Il nome commerciale del sito non identifica necessariamente il soggetto giuridico che riveste tale ruolo.

L'identità e i recapiti del titolare del trattamento devono essere comunicati agli interessati attraverso informazioni autentiche e verificabili, conformemente agli articoli 13 e 14 del GDPR.

Qualora sia obbligatoria la designazione di un rappresentante nell'Unione europea ai sensi dell'articolo 27 del GDPR, devono essere fornite le relative informazioni identificative e di contatto.

Analogamente, qualora ricorrano le condizioni che rendono necessaria la designazione di un responsabile della protezione dei dati ai sensi dell'articolo 37 del GDPR, devono essere resi disponibili i pertinenti recapiti.

L'eventuale presenza o assenza di tali figure deve essere determinata sulla base delle effettive attività di trattamento e delle disposizioni applicabili, senza presumere l'esistenza di incarichi non verificati.

6. Contatti e assistenza in materia di protezione dei dati

Per richiedere chiarimenti sul trattamento dei dati personali, sulle basi giuridiche applicabili, sulle modalità di conservazione, sulla protezione delle informazioni o sull'esercizio dei diritti previsti dal GDPR, è possibile contattarci attraverso i seguenti recapiti.