1. Titolare del trattamento
Il titolare del trattamento dei dati personali è The Girls House di Martina Dimitri, soggetto che opera attraverso il marchio Madéa® e il sito www.madeabeauty.it.
Sede: Via Loisio dello Preite, 102, 74024 Manduria (TA), Italia.
Partita IVA: 03443230739
Codice fiscale: DMTMTN00M66E882S
Email: info@madeabeauty.it.
PEC: thegirlshouse@pec.it
2. Categorie di dati trattati
In relazione alle funzionalità utilizzate possiamo trattare:
- Account: nome, cognome, indirizzo email, telefono, credenziali di accesso protette, data di registrazione e informazioni di autenticazione.
- Acquisti: prodotti e quantità, importi, indirizzi di fatturazione e spedizione, identificativi e stati degli ordini, stato dei pagamenti, richieste di assistenza e dati necessari per gli adempimenti fiscali.
- Pagamenti: riferimenti tecnici comunicati dal prestatore di pagamento, come identificativi delle sessioni e delle transazioni e relative conferme; non i dati completi della carta.
- Contatti: nome, eventuale azienda, email, telefono, argomento e contenuto dei messaggi; il modulo contatti può registrare anche indirizzo IP e informazioni sul browser per gestione della richiesta e sicurezza.
- Recesso: nominativo, email, riferimento d’ordine, dichiarazione, data e ora della trasmissione, identificativo della richiesta ed eventuali note operative; per prevenire abusi può essere conservata un’impronta tecnica dell’IP.
- Navigazione e sicurezza: dati tecnici delle richieste, log applicativi, cookie di sessione e informazioni necessarie per la protezione del servizio.
Non richiediamo di trasmettere dati relativi alla salute, diagnosi o altri dati particolari attraverso i moduli ordinari: non inserirli nei messaggi se non strettamente necessario. Se li riceviamo, il loro trattamento dovrà essere valutato in base al caso concreto e alla relativa base giuridica.
3. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Creazione e gestione dell’account, autenticazione e recupero accesso. | Esecuzione del contratto o misure precontrattuali (art. 6, par. 1, lett. b, GDPR). |
| Gestione di carrello, ordini, consegne, assistenza contrattuale, recesso, resi e rimborsi. | Esecuzione del contratto e obblighi di legge, secondo la singola attività (lett. b e c). |
| Adempimenti fiscali, contabili, amministrativi e risposte a obblighi di legge. | Obbligo legale (lett. c). |
| Risposta alle richieste spontanee tramite modulo contatti. | Misure precontrattuali su richiesta dell’interessato (lett. b) oppure legittimo interesse a rispondere alle comunicazioni non precontrattuali (lett. f), secondo il contenuto. |
| Sicurezza, prevenzione di abusi e tutela dei diritti del titolare. | Legittimo interesse (lett. f), nel rispetto del bilanciamento richiesto dal GDPR, o obbligo legale quando applicabile. |
| Iscrizione volontaria alla newsletter, invio del codice sconto e gestione della revoca. Email verificata tramite link di conferma; nome, cognome ed email cifrati. L'indirizzo è utilizzato per promozioni solo dopo la conferma. | Consenso espresso e revocabile (art. 6, par. 1, lett. a, GDPR); gestione del codice e degli obblighi connessi nei limiti applicabili. |
| Comunicazioni commerciali non necessarie all’ordine, se attivate. | Consenso quando richiesto (lett. a), revocabile in ogni momento, fatti salvi i casi espressamente previsti dalla legge. |
Le email strettamente legate a registrazione, conferma e avanzamento dell’ordine, consegna o assistenza non sono invii promozionali. Il trattamento per finalità commerciali, ove introdotto, dovrà essere distinto e gestito con le pertinenti scelte dell’interessato.
4. Pagamenti elettronici e Stripe
Quando il pagamento con carta è abilitato, l’utente viene indirizzato alla procedura di pagamento gestita da Stripe. I dati completi della carta (numero, data di scadenza e codice di sicurezza CVV/CVC) sono inseriti nell’ambiente del prestatore di pagamento e non vengono memorizzati nel database Madéa.
Per riconciliare gli ordini e verificarne l’esito, Madéa conserva invece dati operativi quali numero dell’ordine, importo, modalità e stato del pagamento, identificativo della sessione Stripe e identificativo dell’operazione di pagamento. Questi dati non equivalgono ai dati completi della carta e non sono necessariamente cifrati nel database.
Stripe può trattare, in relazione al pagamento, dati personali e informazioni antifrode secondo la propria informativa. Consulta l’informativa privacy di Stripe. Se Stripe è disabilitato, il sito non avvia il checkout con Stripe per i nuovi ordini; possono restare informazioni riferite a operazioni precedenti per obblighi amministrativi e tutela dei diritti.
5. Protezione e cifratura dei dati
Per i dati anagrafici e i recapiti dei clienti conservati nell’archivio account, l’applicazione utilizza un sistema di cifratura prima dell’archiviazione (AES-256-GCM). Le password vengono conservate tramite funzione di hashing, non in forma leggibile. Anche le dichiarazioni di recesso e alcune informazioni connesse sono cifrate nell’archivio dedicato.
Non tutti i dati conservati dal sito sono cifrati. Per esempio, informazioni operative di ordini e pagamenti, nonché i dati inseriti nel modulo contatti, possono essere gestiti in campi differenti. L’accesso deve essere limitato a personale autorizzato e a fornitori che ne abbiano necessità per l’erogazione del servizio, con misure tecniche e organizzative adeguate.
Nessuna misura tecnica può garantire un rischio pari a zero. Il titolare valuta e aggiorna le misure di protezione in relazione ai trattamenti effettivamente svolti.
6. Soggetti che possono ricevere i dati
Nei limiti necessari e secondo i rispettivi ruoli privacy, i dati possono essere comunicati a fornitori di hosting e infrastruttura, servizi email/SMTP, prestatori di pagamento (tra cui Stripe, quando abilitato), corrieri e operatori logistici, consulenti amministrativi e fiscali, professionisti incaricati e autorità pubbliche nei casi previsti dalla legge.
I soggetti che trattano dati per conto del titolare devono essere nominati responsabili del trattamento quando ricorrono i presupposti dell’art. 28 GDPR. Altri destinatari, inclusi determinati prestatori di servizi di pagamento, possono agire come titolari autonomi in relazione a proprie finalità e obblighi.
Da verificare prima della pubblicazione: indicare o rendere disponibile un elenco aggiornato dei fornitori effettivamente utilizzati e dei relativi ruoli; questa pagina non attesta che tutti i fornitori menzionati siano già stati contrattualizzati.
7. Eventuali trasferimenti fuori dallo Spazio Economico Europeo
L’utilizzo di servizi internazionali può comportare trasferimenti di dati verso Paesi esterni allo Spazio Economico Europeo. Quando ciò avviene, il trasferimento deve basarsi su uno dei meccanismi previsti dal Capo V del GDPR, come una decisione di adeguatezza oppure, quando applicabili, clausole contrattuali tipo e misure supplementari.
La concreta localizzazione dei servizi, i trasferimenti effettivi e le garanzie applicate devono essere verificati con ciascun fornitore; non si dichiara in questa sede che tutti i dati restino esclusivamente in Italia o nell’Unione europea.
8. Per quanto tempo conserviamo i dati
I dati sono conservati per il tempo necessario alle rispettive finalità e, se previsto, per il periodo imposto dalle norme vigenti:
- Dati amministrativi, contabili e relativi agli ordini: secondo i termini previsti dagli obblighi fiscali e contabili e, ove occorra, per l’accertamento, l’esercizio o la difesa di diritti.
- Account: per la durata del rapporto e successivamente nei limiti necessari a obblighi di legge o a esigenze legittime e documentate.
- Contatti e assistenza: per il tempo necessario a gestire la richiesta e le eventuali contestazioni collegate.
- Dichiarazioni di recesso: per documentare l’esercizio del diritto e gli eventuali adempimenti o contestazioni.
- Log tecnici e sicurezza: per un intervallo proporzionato alle finalità di sicurezza e alle necessità tecniche.
- Newsletter promozionale: fino alla revoca del consenso; le informazioni strettamente necessarie a documentare il consenso, l’avvenuta revoca e l’utilizzo del codice sconto possono essere conservate per il tempo necessario a obblighi e tutela dei diritti. È possibile disiscriversi dal link presente nelle email.
Da completare: prima della pubblicazione occorre specificare i periodi di conservazione effettivamente adottati per account, richieste di contatto, recesso, log e consensi, ove possibile in termini numerici. Gli obblighi legali possono rendere necessario conservare parte dei dati anche dopo la chiusura dell’account.
9. Natura del conferimento
I dati contrassegnati come obbligatori nei moduli sono necessari per la funzione richiesta (registrazione, completamento dell’ordine, spedizione o gestione della dichiarazione). Il mancato conferimento può impedire di completarla. Il conferimento di dati non richiesti come obbligatori è facoltativo.
Il consenso al marketing, quando previsto, è facoltativo e non condiziona la possibilità di effettuare un acquisto.
10. Diritti dell’interessato e reclami
Nei casi e nei limiti previsti dal GDPR, puoi chiedere al titolare accesso ai dati, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opporti ai trattamenti basati sul legittimo interesse. Quando un trattamento si basa sul consenso puoi revocarlo in qualsiasi momento senza pregiudicare la liceità delle attività precedenti.
Per esercitare i tuoi diritti scrivi a info@madeabeauty.it indicando la richiesta. Per proteggere i dati potrebbe essere necessario verificare l’identità del richiedente in modo proporzionato. Il riscontro avviene, di regola, entro un mese, fatte salve le proroghe ammesse dalla normativa.
Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali o di rivolgerti all’autorità di controllo competente.
Non è prevista in questa pagina alcuna dichiarazione di decisioni esclusivamente automatizzate con effetti giuridici: se fossero attivati processi di questo tipo, l’informativa dovrebbe essere aggiornata con le informazioni richieste dall’art. 13 GDPR.
11. Cookie, sessioni e risorse esterne
Il sito può utilizzare cookie strettamente necessari, ad esempio per mantenere la sessione di accesso e proteggere i moduli. Per questi strumenti resta obbligatoria l’informazione, anche quando non occorre il consenso preventivo.
Le pagine caricano risorse tipografiche da Google Fonts, che comportano richieste di rete al relativo fornitore. La presenza di eventuali ulteriori sistemi di analisi, marketing o tracciamento richiede una verifica tecnica delle risorse attive. Gli strumenti non tecnici che richiedono consenso devono essere bloccati prima della scelta dell’utente.
Per la descrizione degli strumenti individuati nel codice attuale consulta la Cookie Policy. Il sito deve essere verificato periodicamente per rilevare eventuali nuove tecnologie che richiedano una raccolta preventiva del consenso.
12. Aggiornamenti dell’informativa
L’informativa può essere aggiornata in relazione a modifiche normative, servizi o modalità effettive di trattamento. La data dell’ultima revisione è riportata in apertura; quando necessario saranno adottate ulteriori modalità di comunicazione.
Per domande relative al trattamento dei dati personali puoi utilizzare la pagina Contatti.