La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”) e del D.Lgs. 30 giugno 2003, n. 196 (“Codice privacy”), come modificato dal D.Lgs. 10 agosto 2018, n. 101. Riguarda il trattamento dei dati personali degli utenti che navigano sul sito unconventionalmarket.app, dei clienti che effettuano acquisti online o nella nostra bottega di Milano e di chiunque ci contatti attraverso i moduli presenti sul sito, per email o per telefono.
1. Titolare del trattamento
Il titolare del trattamento è Unconventional Market S.r.l., con sede legale in Via Tortona 27, 20144 Milano (MI), Italia, P.IVA e C.F. 11827450963, REA MI-2627841.
- Email: [email protected]
- PEC: [email protected]
- Telefono: +39 02 8295 4173 (Lun–Ven 9:30–18:30 · Sab 10:00–13:00)
Non abbiamo nominato un Responsabile della protezione dei dati (DPO), perché la nostra attività non rientra nei casi in cui la nomina è obbligatoria ai sensi dell’art. 37 GDPR. Per qualsiasi domanda sul trattamento dei tuoi dati puoi scrivere all’indirizzo email indicato sopra: la richiesta viene gestita direttamente dalla persona incaricata della privacy all’interno dell’azienda.
2. Dati che trattiamo
Dati di navigazione
I sistemi informatici che fanno funzionare il sito acquisiscono, nel normale esercizio, alcuni dati la cui trasmissione è implicita nell’uso dei protocolli di comunicazione di Internet: indirizzo IP, tipo di browser e sistema operativo, data e ora della richiesta, pagina richiesta, codice di risposta del server. Questi dati servono a garantire il corretto funzionamento e la sicurezza del sito e non vengono usati per identificarti, salvo richiesta dell’autorità giudiziaria in caso di reati informatici.
Dati che ci fornisci volontariamente
- Ordine: nome e cognome, indirizzo di consegna e, se diverso, di fatturazione, email, numero di telefono (necessario al corriere per la consegna), eventuale codice fiscale o partita IVA se richiedi fattura, note sull’ordine e messaggio di accompagnamento per gli ordini regalo.
- Modulo di consulenza: nome, email, telefono, tipo di capello, abitudini di lavaggio, prodotti usati e qualsiasi altra informazione che decidi di scriverci per ricevere un consiglio personalizzato.
- Modulo contatti e richiesta di essere ricontattato: nome, email, telefono e contenuto del messaggio.
- Newsletter: indirizzo email e, se ce li indichi, nome e preferenze sugli argomenti.
- Richiesta di recesso o reso: nome, email, numero d’ordine, data di consegna, prodotti restituiti e, solo se hai pagato con bonifico, il codice IBAN su cui effettuare il rimborso.
- Recensioni: nome (o iniziali, a tua scelta), valutazione e testo della recensione relativa a un prodotto acquistato.
Dati di pagamento
Non conosciamo e non conserviamo mai i dati completi della tua carta. I pagamenti con carta sono gestiti da Stripe Payments Europe Ltd. (Dublino, Irlanda), fornitore certificato PCI-DSS di livello 1; i pagamenti con PayPal e Satispay avvengono sulle piattaforme dei rispettivi gestori. Riceviamo soltanto l’esito della transazione, l’importo, un identificativo dell’operazione e, per le carte, il circuito e le ultime quattro cifre.
Categorie particolari di dati
Il modulo di consulenza riguarda la cura cosmetica dei capelli e non richiede dati relativi alla salute. Ti chiediamo di non inserire diagnosi, terapie o informazioni mediche. Se scegli comunque di descriverci una condizione del cuoio capelluto, tratteremo questa informazione solo per rispondere alla tua richiesta e sulla base del tuo consenso esplicito ai sensi dell’art. 9, par. 2, lett. a) GDPR, che presti inviando il modulo dopo aver letto la presente informativa.
3. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Gestire l’ordine: conferma, pagamento, spedizione, ritiro in bottega, assistenza post-vendita, resi, recesso e garanzia | Esecuzione del contratto e di misure precontrattuali (art. 6, par. 1, lett. b GDPR) |
| Emettere fatture e documenti fiscali, tenere la contabilità, adempiere a richieste delle autorità | Obbligo legale (art. 6, par. 1, lett. c GDPR; art. 2220 c.c. e normativa fiscale) |
| Rispondere a richieste inviate tramite il modulo contatti, email o telefono | Misure precontrattuali su tua richiesta (art. 6, par. 1, lett. b GDPR) |
| Fornire la consulenza gratuita sui capelli e ricontattarti al numero indicato | Consenso (art. 6, par. 1, lett. a GDPR e, per eventuali dati sulla salute, art. 9, par. 2, lett. a) |
| Inviare la newsletter mensile | Consenso (art. 6, par. 1, lett. a GDPR) |
| Inviare ai clienti email su prodotti analoghi a quelli acquistati (soft spam) | Legittimo interesse (art. 6, par. 1, lett. f GDPR e art. 130, comma 4, Codice privacy), con possibilità di opporsi in ogni momento |
| Chiederti una recensione dopo la consegna e pubblicarla | Legittimo interesse a raccogliere opinioni verificate (art. 6, par. 1, lett. f GDPR); la pubblicazione avviene solo se decidi di scriverla |
| Garantire la sicurezza del sito, prevenire frodi nei pagamenti e abusi dei moduli | Legittimo interesse (art. 6, par. 1, lett. f GDPR) |
| Accertare, esercitare o difendere un diritto in sede giudiziale o stragiudiziale | Legittimo interesse (art. 6, par. 1, lett. f GDPR) |
| Statistiche di navigazione e pubblicità personalizzata tramite cookie non tecnici | Consenso (art. 6, par. 1, lett. a GDPR e art. 122 Codice privacy), vedi la cookie policy |
Quando ci basiamo sul legittimo interesse abbiamo verificato che non prevalgano i tuoi diritti e le tue libertà, tenendo conto di ciò che puoi ragionevolmente aspettarti come cliente o visitatore di un negozio online.
4. Natura del conferimento
Il conferimento dei dati necessari a concludere ed eseguire l’ordine (contrassegnati con l’asterisco nei moduli) è obbligatorio: senza di essi non possiamo accettare l’ordine, spedire i prodotti o emettere i documenti fiscali. Lo stesso vale per i campi obbligatori dei moduli di contatto, consulenza e recesso, senza i quali non possiamo dare seguito alla richiesta.
Il conferimento dei dati per la newsletter e il consenso ai cookie statistici e di marketing sono invece del tutto facoltativi: se non li fornisci puoi comunque acquistare e navigare sul sito senza alcuna limitazione.
5. Modalità del trattamento e sicurezza
I dati sono trattati con strumenti elettronici e, in misura limitata, cartacei (ad esempio le bolle di accompagnamento dei pacchi), da personale autorizzato e istruito ai sensi dell’art. 29 GDPR e dell’art. 2-quaterdecies Codice privacy. Adottiamo misure tecniche e organizzative adeguate al rischio, tra cui:
- connessione cifrata HTTPS su tutte le pagine del sito;
- accesso ai sistemi gestionali con credenziali personali e autenticazione a due fattori;
- copie di backup cifrate e conservate nell’Unione europea;
- pagamenti con carta elaborati esclusivamente dal fornitore certificato PCI-DSS, senza che i dati della carta transitino sui nostri server;
- principio di minimizzazione: ogni collaboratore accede solo ai dati necessari alla propria mansione.
Non effettuiamo processi decisionali automatizzati né profilazione che producano effetti giuridici nei tuoi confronti ai sensi dell’art. 22 GDPR. I controlli antifrode sui pagamenti con carta svolti dal fornitore di pagamento possono comportare il blocco di una singola transazione: in questo caso puoi contattarci e una persona verificherà l’ordine.
6. Destinatari dei dati
I tuoi dati non sono diffusi né venduti a terzi. Possono essere comunicati, nei limiti necessari, ai seguenti soggetti, che agiscono come responsabili del trattamento ai sensi dell’art. 28 GDPR in base a un contratto che li vincola a riservatezza e sicurezza, oppure come titolari autonomi quando trattano i dati per finalità proprie:
- fornitore di hosting del sito, con data center situati nell’Unione europea (responsabile);
- Stripe Payments Europe Ltd., Dublino, Irlanda, per i pagamenti con carta (titolare autonomo per gli obblighi antiriciclaggio e antifrode, responsabile per il resto);
- PayPal (Europe) S.à r.l. et Cie, S.C.A., Lussemburgo, e Satispay Europe S.A., Lussemburgo, se scegli questi metodi di pagamento (titolari autonomi);
- BRT S.p.A. e GLS Italy S.p.A., corrieri espressi incaricati della consegna, che ricevono nome, indirizzo, telefono ed email per avvisarti della spedizione (titolari autonomi per l’esecuzione del trasporto);
- Sendinblue SAS (Brevo), Parigi, Francia, piattaforma per l’invio della newsletter e delle email transazionali (responsabile);
- studio di consulenza fiscale e contabile che tiene la nostra contabilità (responsabile);
- istituto bancario per la gestione dei bonifici e dei rimborsi;
- autorità pubbliche, amministrazione finanziaria e autorità giudiziaria, quando la comunicazione è prevista dalla legge.
L’elenco aggiornato dei responsabili del trattamento è disponibile su richiesta scrivendo a [email protected].
7. Trasferimenti di dati fuori dall’Unione europea
Trattiamo i dati principalmente all’interno dello Spazio economico europeo. Alcuni fornitori, o le loro società capogruppo, hanno sede negli Stati Uniti: è il caso di Google LLC, che fornisce i caratteri tipografici del sito tramite Google Fonts e, solo con il tuo consenso, i servizi Google Ads, di Meta Platforms Inc. (Meta Pixel, solo con consenso) e delle capogruppo di Stripe e PayPal. Questi trasferimenti avvengono sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa all’EU-US Data Privacy Framework, per le società certificate, oppure delle clausole contrattuali standard approvate dalla Commissione (art. 46 GDPR). Puoi chiederci una copia delle garanzie adottate scrivendo all’indirizzo email del titolare.
8. Tempi di conservazione
Conserviamo i dati solo per il tempo necessario alle finalità per cui sono raccolti. Alla scadenza li cancelliamo o li rendiamo anonimi in modo irreversibile.
| Categoria di dati | Durata della conservazione |
|---|---|
| Ordini, fatture, documenti contabili e note di credito | 10 anni dalla data del documento (art. 2220 c.c.) |
| Dati per l’assistenza post-vendita e la garanzia legale | 26 mesi dalla consegna, termine di prescrizione dell’azione di garanzia (art. 132 Codice del Consumo) |
| Richieste di recesso e reso | Fino alla chiusura della pratica; il documento di rimborso segue la conservazione decennale dei documenti contabili. L’IBAN è cancellato 30 giorni dopo l’esecuzione del rimborso |
| Richieste dal modulo contatti, email e telefono | 12 mesi dalla chiusura della richiesta |
| Richieste di consulenza | 24 mesi dall’ultimo contatto, per poter riprendere la conversazione sulla tua routine, salvo revoca anticipata del consenso |
| Iscrizione alla newsletter | Fino alla cancellazione; gli indirizzi che non aprono alcuna email per 24 mesi vengono rimossi automaticamente |
| Email ai clienti su prodotti analoghi (soft spam) | 24 mesi dall’ultimo acquisto, salvo opposizione |
| Recensioni pubblicate | Per tutta la durata della pubblicazione del prodotto sul sito, salvo tua richiesta di rimozione |
| Log tecnici del server | 90 giorni, salvo necessità di accertare un illecito |
| Preferenze sui cookie | 6 mesi, come indicato nella cookie policy |
In caso di contestazione o contenzioso i dati pertinenti possono essere conservati per il tempo ulteriore necessario alla tutela dei diritti, fino alla definizione della controversia.
9. I tuoi diritti
In qualsiasi momento, ai sensi degli artt. 15–22 GDPR, puoi esercitare gratuitamente i seguenti diritti:
- accesso: sapere se trattiamo tuoi dati e riceverne copia (art. 15);
- rettifica dei dati inesatti o integrazione di quelli incompleti (art. 16);
- cancellazione, quando i dati non sono più necessari, hai revocato il consenso o ti sei opposto al trattamento, salvo gli obblighi di conservazione previsti dalla legge (art. 17);
- limitazione del trattamento, ad esempio mentre verifichiamo una tua contestazione (art. 18);
- portabilità: ricevere in formato strutturato e leggibile da dispositivo automatico i dati che ci hai fornito sulla base del contratto o del consenso, e trasmetterli a un altro titolare (art. 20);
- opposizione ai trattamenti basati sul legittimo interesse per motivi connessi alla tua situazione particolare e, senza bisogno di motivazione, a quelli per finalità di marketing (art. 21);
- non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati (art. 22).
Per esercitare i diritti scrivi a [email protected] o alla PEC [email protected], oppure invia una lettera alla sede legale. Rispondiamo senza ingiustificato ritardo e comunque entro un mese dalla richiesta, termine prorogabile di due mesi in caso di richieste particolarmente complesse, di cui ti daremo comunicazione. Per tutelare i tuoi dati potremmo chiederti di confermare la tua identità, ad esempio scrivendo dallo stesso indirizzo email usato per l’ordine.
10. Marketing e revoca del consenso
Puoi revocare in qualsiasi momento il consenso prestato, senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca (art. 7, par. 3, GDPR). In concreto:
- per la newsletter e per le email sui prodotti analoghi, usa il link “cancella l’iscrizione” presente in fondo a ogni messaggio, oppure scrivici: la cancellazione è immediata;
- per la consulenza, comunicaci che non desideri più essere ricontattato e cancelleremo la tua scheda;
- per i cookie, usa il pulsante “Gestisci cookie” nel piè di pagina di ogni pagina del sito.
Una sola email al mese. La newsletter esce all’inizio di ogni mese. Non cediamo né noleggiamo mai il nostro elenco di iscritti e non usiamo il tuo indirizzo per campagne di altre aziende.
11. Reclamo al Garante
Se ritieni che il trattamento dei tuoi dati violi il GDPR hai il diritto di proporre reclamo all’autorità di controllo dello Stato membro in cui risiedi, lavori o in cui si è verificata la presunta violazione (art. 77 GDPR). In Italia l’autorità competente è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, sito web www.garanteprivacy.it. Resta salva la possibilità di rivolgerti all’autorità giudiziaria.
Ti saremo comunque grati se vorrai scriverci prima: la maggior parte dei dubbi si risolve in pochi giorni con una semplice email.
12. Minori e modifiche all’informativa
Il sito e i nostri servizi sono destinati a persone maggiorenni. Non raccogliamo consapevolmente dati di minori di 14 anni, che ai sensi dell’art. 2-quinquies Codice privacy non possono prestare autonomamente il consenso per i servizi della società dell’informazione. Se veniamo a sapere di aver ricevuto dati di un minore senza il consenso di chi esercita la responsabilità genitoriale, li cancelliamo tempestivamente.
Possiamo aggiornare questa informativa per adeguarla a modifiche normative, all’introduzione di nuovi servizi o al cambio di fornitori. La data dell’ultimo aggiornamento è indicata all’inizio della pagina. In caso di modifiche sostanziali ne daremo evidenza sul sito e, se hai un ordine in corso o sei iscritto alla newsletter, anche via email.