Politica sulla Privacy e sui Cookie di mazzolaluce.com

La sicurezza dei vostri dati personali è di fondamentale importanza per noi. In conformità con il Regolamento (UE) 2016/679 (GDPR), con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali, come modificato dal D.Lgs. 101/2018) e con le Linee Guida del Garante per la protezione dei dati personali in materia di cookie e altri strumenti di tracciamento del 10 giugno 2021, tutte le operazioni di trattamento dei dati vengono gestite con la massima cura.

Questa informativa, resa ai sensi degli artt. 13 e 14 del GDPR, offre un quadro chiaro sui tipi di dati personali raccolti attraverso il nostro sito web, le finalità e le basi giuridiche del trattamento, i soggetti destinatari, i tempi di conservazione, i diritti degli interessati e le misure adottate per la protezione dei dati.

1. Titolare del Trattamento dei Dati

Il Titolare del Trattamento è il soggetto che determina le finalità e i mezzi del trattamento dei dati personali raccolti attraverso il sito web mazzolaluce.com, ai sensi dell'art. 4, n. 7, del GDPR.

Ambito della presente informativa: il presente documento copre esclusivamente i trattamenti effettuati attraverso il sito web mazzolaluce.com. Per i trattamenti effettuati presso il punto vendita fisico (showroom) di Palermo — ad esempio richieste di preventivo cartacee, registro visite, eventuale videosorveglianza — è disponibile un'informativa specifica esposta presso il punto vendita ai sensi dell'art. 13 del GDPR.

Responsabile della Protezione dei Dati (DPO/RPD): ai sensi dell'art. 37 del GDPR, il Titolare ha valutato che la nomina di un DPO non è obbligatoria, non rientrando nei casi previsti dalla norma. Le richieste in materia di protezione dei dati possono essere indirizzate direttamente al Titolare ai recapiti sopra indicati.

Per qualsiasi richiesta riguardante la protezione dei dati o per esercitare i diritti dell'interessato (vedi Sezione 19), è possibile inviare una comunicazione ai recapiti sopra indicati.

2. Finalità e basi giuridiche del trattamento

2.1 Registro dei file (log di sistema)

Ogni qualvolta si visita il nostro sito web, il browser del dispositivo invia automaticamente dati al nostro server, che vengono archiviati temporaneamente in file di registro. Questi dati includono: data e ora della visita, nome della pagina visualizzata, indirizzo IP del dispositivo, URL di provenienza, volume di dati trasmessi, tempo di risposta, dettagli sul browser (prodotto e versione) e nome del provider di servizi internet.

Base giuridica: legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f del GDPR (sicurezza della rete e prevenzione di abusi). Il Titolare ha effettuato una valutazione del bilanciamento (LIA) tra il proprio interesse e i diritti degli interessati, conservata internamente e disponibile su richiesta dell'Autorità di controllo.

2.2 Tracciamento, cookie e social media

Utilizziamo i cookie per facilitare la navigazione sul nostro sito web. Ulteriori dettagli sono disponibili nella Sezione 16 e nelle sezioni dedicate ai singoli servizi.

2.3 Gestione del rapporto contrattuale

2.3.1 Elaborazione dei dati in fase precontrattuale

Modulo di contatto / e-mail: Potete contattarci tramite il nostro modulo di contatto o via e-mail. Saranno trattati il vostro nome e indirizzo e-mail; potete fornire volontariamente ulteriori dati. Basi giuridiche: art. 6, par. 1, lett. b e f del GDPR.

Telefono: Potete contattarci telefonicamente. Registreremo il vostro nome e numero di telefono. Basi giuridiche: art. 6, par. 1, lett. b e f del GDPR.

2.3.2 Esecuzione del contratto

Per processare un contratto di acquisto, trattiamo: nome, cognome, indirizzi di fatturazione e consegna, dati di pagamento, e-mail, telefono e, facoltativamente, data di nascita.

Base giuridica: art. 6, par. 1, lett. b e c del GDPR.

2.3.3 Notifiche di stato della spedizione

Per consentire all'utente di seguire lo stato di consegna del proprio ordine, inviamo aggiornamenti automatici via e-mail tramite il servizio Qapla' S.P.A. SB (Via XXVII Luglio, 22 – 50026 San Casciano in Val di Pesa, FI). Le comunicazioni includono: conferma di presa in carico dal corriere, in transito, in consegna, consegnato, eventuali notifiche di anomalia.

Dati trattati: nome e cognome, indirizzo e-mail, indirizzo di consegna, numero di tracking del corriere, riferimenti dell'ordine.

Base giuridica: esecuzione del contratto ai sensi dell'art. 6, par. 1, lett. b del GDPR. Le notifiche di stato della spedizione sono prestazioni accessorie strumentali all'esecuzione del contratto di vendita a distanza e all'adempimento dell'obbligo di consegna; non si tratta pertanto di comunicazioni promozionali e non richiedono consenso preventivo dell'utente.

Eventuali contenuti promozionali: qualora le e-mail di tracking includano sezioni promozionali, esse saranno inviate esclusivamente a utenti che hanno prestato il consenso esplicito alla newsletter ai sensi della Sezione 4.2.

Natura del rapporto con Qapla': Qapla' S.P.A. SB opera in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di apposito accordo (DPA) stipulato con il Titolare. I server di Qapla' sono ubicati in Italia.

Conservazione: i dati di spedizione presso Qapla' sono conservati per il tempo necessario all'evasione e tracciamento dell'ordine e successivamente per il termine di garanzia legale (26 mesi dalla consegna), come da accordo di trattamento.

Privacy Qapla': https://www.qapla.it/privacy-policy/.

2.3.4 Servizi di spedizione e logistica

Collaboriamo con corrieri per la consegna dei prodotti. Potremmo condividere: nome, cognome, indirizzo postale, e-mail e telefono.

Base giuridica: art. 6, par. 1, lett. b del GDPR.

2.4 Dati personali di soggetti terzi comunicati dall'utente

Può accadere che l'utente fornisca a Mazzola Luce S.r.l. dati personali di soggetti terzi, ad esempio quando l'indirizzo di spedizione è diverso da quello dell'acquirente, quando si acquista un prodotto da consegnare a un'altra persona o quando si richiede l'emissione di fattura a favore di un soggetto diverso dall'ordinante.

Mazzola Luce S.r.l. tratterà i dati personali di soggetti terzi esclusivamente per le finalità per cui sono stati comunicati (ad esempio: spedizione dell'ordine, emissione di fattura). In ogni caso, il Titolare adempirà all'obbligo di informativa nei confronti del soggetto terzo ai sensi dell'art. 14 del GDPR.

Base giuridica: esecuzione del contratto ai sensi dell'art. 6, par. 1, lett. b del GDPR; legittimo interesse ai sensi dell'art. 6, par. 1, lett. f del GDPR.

2.5 Buoni regalo e Gift Card – Trattamento dati del destinatario

In caso di acquisto di buoni regalo o Gift Card da inviare a un soggetto terzo, verranno raccolti i seguenti dati personali del destinatario: nome e indirizzo e-mail.

Finalità: tali dati saranno trattati esclusivamente per consentire l'invio della Gift Card al destinatario via e-mail, il suo riscatto e l'adempimento delle prestazioni contrattuali connesse.

Conservazione: i dati del destinatario (nome e indirizzo e-mail) saranno conservati fino alla conferma di riscatto della Gift Card ovvero, se cronologicamente successivo, fino alla scadenza del termine per l'esercizio del diritto di recesso da parte dell'acquirente. Trascorso tale termine, i dati del destinatario trattati per le finalità qui indicate saranno cancellati.

Obbligo informativo: l'acquirente della Gift Card è tenuto a informare il destinatario del trattamento dei suoi dati e della presente informativa prima di comunicare i dati a Mazzola Luce S.r.l., come indicato nella Sezione 2.4.

Base giuridica: esecuzione del contratto ai sensi dell'art. 6, par. 1, lett. b del GDPR.

2.6 Piattaforme interne di gestione dati (ERP/gestionale)

Per finalità di gestione amministrativa, contabile e logistica degli ordini, i dati personali degli utenti raccolti tramite il sito web possono essere importati e trattati all'interno del sistema gestionale Mexal Passepartout (Passepartout S.p.A., Via Consiglio dei Sessanta 99, 47891 Dogana, Repubblica di San Marino).

Dati trattati: dati anagrafici (nome, cognome, ragione sociale), indirizzi di fatturazione e spedizione, codice fiscale/partita IVA, dati contabili (ordini, fatture, note di credito, pagamenti), indirizzo e-mail e numero di telefono.

Finalità: gestione del ciclo dell'ordine (dalla ricezione alla fatturazione), adempimento degli obblighi fiscali e contabili, gestione del magazzino, generazione di documenti di trasporto, gestione dei resi e dell'assistenza post-vendita.

Misure di sicurezza: l'accesso al gestionale è protetto da credenziali individuali ed è limitato al personale autorizzato. I dati sono conservati su server ubicati in Italia. È stato stipulato un accordo di trattamento ai sensi dell'art. 28 del GDPR con il fornitore del servizio.

Conservazione: i dati trattati nel gestionale seguono i medesimi tempi di conservazione indicati nella Sezione 3 della presente informativa.

Base giuridica: esecuzione del contratto ai sensi dell'art. 6, par. 1, lett. b del GDPR; adempimento di obblighi legali ai sensi dell'art. 6, par. 1, lett. c del GDPR.

2.7 Prevenzione delle frodi e gestione del rischio creditizio

Al fine di prevenire e contrastare frodi, transazioni non autorizzate e abusi, e di proteggere la sicurezza dei nostri clienti, dei nostri sistemi e delle transazioni commerciali, ci avvaliamo dei sistemi antifrode integrati nei seguenti servizi di pagamento:

• Stripe Radar (Stripe Payments Europe, Ltd., Dublino 2, Irlanda) – sistema di machine learning che, esclusivamente al momento dell'inserimento dei dati di pagamento e della finalizzazione della transazione, analizza in tempo reale centinaia di indicatori di rischio (indirizzo IP, geolocalizzazione, pattern di utilizzo della carta, fingerprint del dispositivo limitato alla pagina di checkout, velocità di compilazione dei campi) per attribuire un punteggio di rischio a ciascuna transazione e bloccare automaticamente quelle sospette.
• Sistema antifrode PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxembourg) – analisi automatica delle transazioni basata su modelli di rischio proprietari, che valuta la coerenza dei dati dell'acquirente, la storia dell'account e il comportamento di pagamento.
• Sistema antifrode Scalapay (Scalapay S.r.l., Via Filippo Turati, 25, 20121 Milano) – verifica automatica dell'identità e dell'affidabilità creditizia dell'acquirente nell'ambito del servizio di pagamento rateale, con analisi del rischio basata su scoring interno.

Dati trattati: dati di pagamento (numero carta parziale, data di scadenza, CVV in forma tokenizzata), indirizzo IP, dati del dispositivo (browser, sistema operativo, fingerprint limitato alla pagina di checkout), indirizzo di fatturazione e spedizione, importo e dettagli dell'ordine, storico delle transazioni effettuate sul sito.

Finalità: i dati sono trattati esclusivamente per la prevenzione di frodi, la protezione dei clienti e dell'infrastruttura di pagamento, e la gestione del rischio creditizio associato alle transazioni. Non vengono utilizzati per finalità di marketing o profilazione commerciale.

Conservazione: i dati antifrode sono trattati e conservati direttamente dai provider di pagamento (Stripe, PayPal, Scalapay) in qualità di titolari autonomi del trattamento. I tempi di conservazione seguono le policy dei singoli provider, in conformità con gli obblighi di legge in materia di antiriciclaggio (D.Lgs. 231/2007) e di prevenzione frodi nei pagamenti elettronici (Direttiva PSD2 e D.Lgs. 11/2010). Il Titolare non conserva una propria copia separata dei dati antifrode dei provider e si attiene alle informative privacy degli stessi.

Base giuridica: esecuzione del contratto e di misure precontrattuali richieste dall'interessato ai sensi dell'art. 6, par. 1, lett. b del GDPR (la prevenzione delle frodi è condizione strettamente necessaria al perfezionamento del pagamento richiesto); adempimento di obblighi di legge in materia di prevenzione delle frodi nei pagamenti elettronici e di antiriciclaggio ai sensi dell'art. 6, par. 1, lett. c del GDPR; legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f del GDPR per la protezione dei propri sistemi e dei propri clienti, supportato da una valutazione di bilanciamento (LIA) documentata internamente.

3. Tempi di conservazione dei dati

I dati personali sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti (art. 5, par. 1, lett. e, GDPR).

La revoca del consenso non comporta la cancellazione automatica dei dati già raccolti, che saranno conservati per il tempo residuo previsto, salvo richiesta espressa di cancellazione ai sensi dell'art. 17 GDPR.

4. Trasferimento dei dati a terzi e partner

4.1 Gestione dei pagamenti

Per la gestione dei pagamenti ci affidiamo ai seguenti fornitori:

• PayPal (Europe) S.à r.l. et Cie, S.C.A. – Luxembourg
• Stripe Payments Europe, Ltd. – Dublino 2, Irlanda
• Unicredit Pagonline – UniCredit S.p.A., Milano
• Scalapay – Scalapay S.r.l., Milano
• Apple Pay e Google Pay – integrati come wallet di pagamento tramite i circuiti Stripe e PayPal sopra indicati

Base giuridica: art. 6, par. 1, lett. b del GDPR.

4.2 Comunicazioni commerciali e marketing diretto

Le comunicazioni promozionali del Titolare avvengono esclusivamente nell'ambito del servizio di newsletter, al quale l'utente può iscriversi volontariamente:

• in fase di registrazione del proprio account, spuntando l'apposita casella di consenso al marketing;
• in qualsiasi momento successivo tramite il modulo di iscrizione newsletter dedicato presente sul sito.

Per le modalità di funzionamento della newsletter (procedura double opt-in, dati raccolti, finalità, revoca del consenso) si rinvia alla Sezione 4.3.

Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR. L'utente può revocare il consenso in qualsiasi momento cliccando sul link di disiscrizione presente in ogni e-mail promozionale, oppure scrivendo a [email protected].

4.3 Newsletter

Raccogliamo: indirizzo e-mail (obbligatorio) e, facoltativamente, nome, cognome, data di nascita; per clienti commerciali anche la denominazione dell'azienda.

Finalità del conferimento facoltativo della data di nascita: ai sensi del principio di minimizzazione (art. 5, par. 1, lett. c, GDPR), la data di nascita è raccolta esclusivamente per consentire l'invio di comunicazioni personalizzate in occasione del compleanno dell'utente (es. coupon sconto compleanno) e non è utilizzata per altre finalità di profilazione. Il mancato conferimento di tale dato non pregiudica l'iscrizione alla newsletter né la ricezione delle altre comunicazioni promozionali.

Procedura di iscrizione (double opt-in): per garantire che l'iscrizione alla newsletter sia stata effettivamente richiesta dal titolare dell'indirizzo e-mail, utilizziamo la procedura di double opt-in (DOI). Dopo aver inserito il proprio indirizzo e-mail nell'apposito modulo, l'utente riceverà un'e-mail di conferma contenente un link di attivazione. L'iscrizione alla newsletter si perfeziona esclusivamente al momento del clic sul link di conferma.

Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.

Revoca del consenso: in qualsiasi momento cliccando sul link di cancellazione in fondo ad ogni newsletter, oppure scrivendo a [email protected]. La revoca non comporta alcun costo.

5. Presenza online e ottimizzazione del sito web

5.1 Cookie – Informazioni generali

Utilizziamo cookie per migliorare l'usabilità del sito. Le informazioni raccolte sono pseudonimizzate e non conservate insieme ad altri dati personali. Potete personalizzare il consenso tramite il banner visualizzato al primo accesso.

• Cookie strettamente necessari: art. 6, par. 1, lett. f del GDPR – esenzione dal consenso ex art. 122, comma 1, Codice Privacy
• Cookie analitici e di marketing: art. 6, par. 1, lett. a del GDPR (consenso)

5.2 Google Analytics

Utilizziamo Google Analytics 4 di Google Ireland Limited (Gordon House, Barrow St, Dublino 4, Irlanda). Google dichiara, in qualità di fornitore del servizio, di non registrare l'indirizzo IP completo dell'utente nei propri sistemi di analisi (in GA4 l'IP non viene memorizzato in modo persistente, ma utilizzato esclusivamente per la derivazione di informazioni geografiche aggregate e per la prevenzione abusi). Google aderisce al EU-US Data Privacy Framework (DPF). Per maggiori informazioni: Trattamento degli indirizzi IP in GA4.

Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.

Opt-out: È possibile disattivare Google Analytics revocando il consenso tramite il banner cookie del nostro sito, oppure installando il componente aggiuntivo per il browser fornito da Google.

5.3 Remarketing di Google Ads

Utilizziamo Google Ads Remarketing e "Similar Audiences" di Google Ireland Limited per annunci personalizzati sulla Rete Display. Il processo usa cookie che identificano il browser, non la persona.

Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.

Opt-out: revoca del consenso tramite il banner cookie del nostro sito (modalità primaria di esercizio del diritto). In via informativa aggiuntiva, è possibile disattivare la personalizzazione degli annunci tramite le impostazioni annunci Google.

5.4 Monitoraggio delle conversioni di Google Ads

Un cookie (scadenza 30 giorni) viene installato al clic su un annuncio per compilare statistiche aggregate anonime.

Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.

Opt-out: revoca del consenso tramite il banner cookie del nostro sito.

5.5 Programma di affiliazione Amazon

Mazzola Luce S.r.l. partecipa, in qualità di affiliato, al programma di affiliazione Amazon, gestito per gli utenti dello Spazio Economico Europeo da Amazon EU S.à r.l. (5 Rue Plaetis, L-2338 Luxembourg). Il programma consente al sito di inserire link che reindirizzano alle pagine prodotto su Amazon e di percepire una commissione in caso di acquisto da parte dell'utente.

Funzionamento tecnico: i link e i widget di affiliazione presenti sul sito non installano cookie di per sé. Soltanto al momento del clic dell'utente sul link di affiliazione, l'utente viene reindirizzato sul sito Amazon, dove vengono installati cookie di tracciamento conversione gestiti direttamente da Amazon in qualità di titolare autonomo. Tali cookie sono soggetti alla privacy policy di Amazon: Informativa privacy Amazon.

Dati raccolti dal Titolare: il Titolare riceve da Amazon esclusivamente report aggregati anonimi sulle commissioni maturate, senza accesso ai dati personali identificativi degli utenti che hanno cliccato sui link di affiliazione.

I dati possono essere trasferiti negli Stati Uniti. Amazon aderisce al EU-US Data Privacy Framework.

Base giuridica: per l'inserimento dei link di affiliazione, legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f del GDPR; per i cookie installati su Amazon dopo il clic, consenso prestato direttamente dall'utente sul sito Amazon ai sensi della relativa cookie policy.

Opt-out: l'utente può semplicemente non cliccare sui link di affiliazione; in alternativa può gestire i cookie del proprio browser e le impostazioni di Amazon.

5.6 Statistiche raccolte in modo diretto

Questo Sito Web utilizza un sistema di statistiche interno che non coinvolge terze parti. Dati raccolti: Cookie e Dati di utilizzo.

5.7 Google Ads Enhanced Conversions (Conversioni avanzate)

Il sito utilizza la funzionalità Enhanced Conversions di Google Ads, fornita da Google Ireland Limited (Gordon House, Barrow Street, Dublino 4, Irlanda), per migliorare la misurazione delle conversioni pubblicitarie e supportare l'efficacia delle campagne anche in scenari con limitata disponibilità di cookie di terze parti.

Funzionamento tecnico: al momento del completamento di una conversione (ad esempio l'acquisto al checkout o l'iscrizione alla newsletter), il sito raccoglie alcuni dati personali di prima parte forniti dall'utente nel modulo (indirizzo e-mail e, ove disponibili, nome, cognome, numero di telefono, indirizzo postale) e li trasmette ai server di Google Ads in forma sottoposta a hashing crittografico unidirezionale (SHA-256). L'hashing avviene lato client all'interno del browser dell'utente, prima della trasmissione: nessun dato personale in chiaro viene inviato a Google in questa fase.

Finalità del trattamento: Google utilizza i dati hashati ricevuti per metterli a confronto, mediante un meccanismo di "hash matching", con i dati hashati degli utenti loggati ai propri servizi (Google Account). In caso di corrispondenza, la conversione viene attribuita all'annuncio pubblicitario di provenienza, consentendo al Titolare di misurare con maggiore accuratezza il ritorno sull'investimento delle campagne. I dati hashati che non producono corrispondenza vengono cancellati da Google.

Natura dei dati hashati ai sensi del GDPR: ai sensi delle interpretazioni dell'EDPB e del Garante, i dati sottoposti a hashing crittografico restano qualificabili come dati personali pseudonimizzati (e non come dati anonimi), in quanto Google è in grado di re-identificare gli utenti incrociando l'hash con i propri sistemi. Si applicano pertanto integralmente le tutele del GDPR.

Dati trattati: indirizzo e-mail (sempre, ove disponibile); nome e cognome, numero di telefono, indirizzo postale (solo ove forniti dall'utente nel modulo di conversione e ove configurati nel tag); tutti trasmessi esclusivamente in forma hashata SHA-256.

Base giuridica: consenso espresso dell'interessato ai sensi dell'art. 6, par. 1, lett. a del GDPR e dell'art. 122 del Codice Privacy. Il consenso ai cookie di marketing copre l'attivazione di Enhanced Conversions in quanto strumento di misurazione delle campagne pubblicitarie.

Rapporto di contitolarità (art. 26 GDPR): in relazione al matching dei dati hashati e all'attribuzione delle conversioni, Mazzola Luce S.r.l. e Google Ireland Limited operano in regime di contitolarità del trattamento. Mazzola Luce è responsabile della raccolta del consenso, del corretto hashing lato client e della trasmissione dei soli dati strettamente necessari; Google Ireland Limited è responsabile del matching, dell'attribuzione delle conversioni e della successiva cancellazione dei dati non corrispondenti. Il contenuto essenziale dell'accordo è disponibile in Sezione 15.1.

Conservazione: Google conserva i dati hashati in conformità con la propria informativa privacy (in genere 540 giorni dall'evento di conversione, salvo periodi differenti dichiarati da Google nei propri termini). I dati che non producono corrispondenza con utenti Google vengono cancellati immediatamente. Mazzola Luce non conserva una copia dei dati hashati trasmessi a Google.

Trasferimenti USA: i dati possono essere trasferiti negli Stati Uniti. Google aderisce al EU-US Data Privacy Framework, integrato da Clausole Contrattuali Standard come garanzia di fallback (cfr. Sezione 18).

Diritti dell'interessato: oltre ai diritti generali ex artt. 15-22 GDPR (cfr. Sezione 19), l'utente può in qualsiasi momento:

• revocare il consenso ai cookie di marketing tramite il banner cookie del sito, con conseguente disattivazione immediata di Enhanced Conversions per le conversioni future;
• richiedere a Google la cancellazione dei propri dati hashati eventualmente associati al proprio Google Account tramite le impostazioni del proprio account Google.

Riferimenti documentali Google: Documentazione tecnica Enhanced Conversions – Termini relativi alle Conversioni Avanzate.

6. Google reCAPTCHA

Utilizziamo Google reCAPTCHA (Google Ireland Limited, Gordon House, Barrow St, Dublino 4, Irlanda) per proteggere i nostri moduli web e le funzionalità del sito da accessi automatizzati e abusi (bot, spam, attacchi DDoS). reCAPTCHA analizza il comportamento del visitatore sulla base di diverse caratteristiche, tra cui: indirizzo IP, durata della visita, movimenti del mouse e interazioni con la pagina.

reCAPTCHA analizza il comportamento del visitatore e trasmette i dati raccolti ai server di Google per distinguere gli utenti umani dai bot. Poiché il servizio comporta la trasmissione di dati a un soggetto terzo (Google) che può utilizzarli anche per finalità proprie, reCAPTCHA non è classificabile come cookie strettamente necessario esente dal consenso. Il servizio viene pertanto attivato esclusivamente dopo che l'utente ha espresso il proprio consenso tramite il banner cookie.

Soluzione di fallback in assenza di consenso: per i moduli web critici (registrazione, contatti, recensioni), in caso di mancato consenso a reCAPTCHA il Titolare adotta meccanismi anti-bot alternativi che non richiedono trasmissione di dati a terzi (honeypot, rate limiting, CAPTCHA proprietario), garantendo così l'utilizzabilità del servizio anche in assenza di consenso a reCAPTCHA.

Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR e dell'art. 122 del Codice Privacy. L'utente può revocare il consenso in qualsiasi momento tramite il banner cookie del sito.

Privacy Policy Google – Informazioni su reCAPTCHA.

7. Modalità di consenso di Google (Consent Mode v2)

Utilizziamo Consent Mode v2 di Google per gestire il comportamento dei tag in base al consenso espresso dall'utente tramite il banner cookie. Quando l'utente non ha prestato il consenso ai cookie analitici e/o di marketing, i tag di Google operano in modalità limitata: non vengono memorizzati cookie e non vengono raccolti dati identificativi. In questa modalità, possono essere trasmessi a Google segnali anonimi e aggregati (cosiddetti "ping senza consenso"), privi di identificatori personali, al solo fine di consentire la modellazione statistica delle conversioni.

Quando l'utente presta il consenso ai cookie analitici e/o di marketing, i tag di Google operano in modalità completa, raccogliendo i dati descritti nelle rispettive sezioni della presente informativa (Sezioni 5.2, 5.3, 5.4).

Base giuridica: per i ping senza consenso (modalità limitata), legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f del GDPR, in considerazione del fatto che non vengono memorizzati cookie né trasmessi dati personali identificativi; per la modalità completa, consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.

8. Google Tag Manager

Google Tag Manager non utilizza cookie né raccoglie dati personali direttamente: facilita l'attivazione di altri tag ma non accede ai dati da essi raccolti.

9. Heat mapping e registrazione sessioni

Microsoft Clarity

Utilizziamo Microsoft Clarity, un servizio di analisi del comportamento degli utenti fornito da Microsoft Corporation (One Microsoft Way, Redmond, WA 98052-6399, USA). Microsoft Clarity genera heatmap (mappe di calore) e registrazioni delle sessioni di navigazione per comprendere come gli utenti interagiscono con le pagine del nostro sito web, al fine di migliorarne l'usabilità e l'esperienza complessiva.

Dati raccolti: informazioni sul dispositivo e sul browser (tipo, versione, sistema operativo, risoluzione dello schermo), indirizzo IP (non registrato in modo persistente da Microsoft secondo dichiarazione del fornitore), pagine visitate, clic, scroll, movimenti del mouse e interazioni con gli elementi della pagina, durata e sequenza della sessione di navigazione.

Cookie installati da Microsoft Clarity: il servizio installa i seguenti cookie sul dispositivo dell'utente:

• _clck – identificativo univoco utente Clarity (durata: 1 anno)
• _clsk – identificativo di sessione Clarity (durata: 1 giorno)
• CLID – identificativo Clarity per il riconoscimento del visitatore (durata: 1 anno)
• MR, MUID, ANONCHK, SM – cookie tecnici e di sicurezza Microsoft (durata variabile)

Esclusione di pagine sensibili: il Titolare ha disattivato il tracciamento Clarity sulle pagine che potrebbero rivelare informazioni assimilabili a categorie particolari di dati ex art. 9 GDPR (es. eventuali categorie di prodotti destinati a specifiche condizioni di salute o disabilità), tramite chiamata clarity('stop').

Non incrocio dei dati: i dati raccolti da Microsoft Clarity sono trattati esclusivamente all'interno della piattaforma Microsoft Azure e non vengono incrociati con i dati di Google Analytics, del CRM, del gestionale ERP o di altri tool di marketing utilizzati dal Titolare.

Valutazione di impatto sulla protezione dei dati (DPIA, art. 35 GDPR): in considerazione della natura del trattamento (registrazione delle sessioni di navigazione), il Titolare ha effettuato una valutazione di impatto preliminare ai sensi dell'art. 35 GDPR, conservata internamente e disponibile su richiesta dell'Autorità Garante.

Conservazione e luogo del trattamento: Le registrazioni delle sessioni e i dati delle heatmap vengono archiviati sui server di Microsoft Azure. Microsoft conserva i dati di Clarity per un periodo massimo di 30 giorni, trascorso il quale vengono automaticamente eliminati. I dati possono essere trasferiti negli Stati Uniti; Microsoft aderisce al EU-US Data Privacy Framework (DPF).

Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.

Opt-out: revoca del consenso tramite il banner cookie del nostro sito, oppure visitando la pagina di gestione della privacy di Microsoft: https://choice.microsoft.com/it-IT/opt-out.

Per ulteriori informazioni: Documentazione Microsoft Clarity – Informativa sulla privacy di Microsoft.

10. Interazione con piattaforme di live chat

Zendesk Chat (ex Zopim) – Zendesk, Inc.

Il nostro sito web integra il widget di live chat Zendesk Chat (precedentemente noto come Zopim), fornito da Zendesk, Inc. (989 Market Street, San Francisco, CA 94103, USA).

Dati raccolti: Cookie tecnici e di sessione necessari al funzionamento del widget, dati di utilizzo (pagine visitate, orario di accesso, durata della sessione, tipo di dispositivo e browser, indirizzo IP), nonché tutti i dati che l'utente sceglie volontariamente di comunicare durante la conversazione in chat. L'utente non è obbligato a fornire dati personali per utilizzare la chat: è possibile avviare una conversazione in forma anonima.

Finalità: i dati sono trattati esclusivamente per rispondere alle richieste di assistenza dell'utente, migliorare la qualità del servizio clienti e, ove necessario, gestire richieste precontrattuali o contrattuali.

Tempi di conservazione: i dati delle conversazioni in chat sono conservati per un massimo di 12 mesi dall'ultima interazione, salvo necessità di gestione di reclamo o rapporto contrattuale in corso.

Luogo del trattamento: i dati possono essere trasferiti negli Stati Uniti. Zendesk, Inc. è certificata sotto il EU-US Data Privacy Framework (DPF) e ha stipulato Clausole Contrattuali Standard (SCC) della Commissione Europea come garanzia supplementare.

Base giuridica: legittimo interesse del Titolare a fornire assistenza clienti efficiente ai sensi dell'art. 6, par. 1, lett. f del GDPR; per i dati forniti volontariamente dall'utente durante la chat, esecuzione di misure precontrattuali ai sensi dell'art. 6, par. 1, lett. b del GDPR.

Privacy Policy Zendesk.

11. Interazione con piattaforme di supporto e feedback

Widget di Zendesk (Zendesk, Inc.)

Dati raccolti: cognome, Cookie, Dati di utilizzo, e-mail, indirizzo, nazione, nome, telefono, ragione sociale e username. I dati sono limitati al minimo necessario (art. 5, par. 1, lett. c, GDPR). Zendesk è certificata sotto il EU-US Data Privacy Framework. Privacy Policy.

12. Interazione con piattaforme di raccolta dati e terze parti

12.1 Cloudflare Web Analytics (Cloudflare, Inc.)

Il sito web utilizza Cloudflare Web Analytics, un servizio di analisi statistica fornito da Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA). Il servizio raccoglie dati di utilizzo in forma aggregata e anonima direttamente tramite un beacon JavaScript, senza l'uso di cookie, senza creazione di identificatori univoci persistenti dell'utente e senza fingerprinting identificante.

Il Titolare ha valutato attentamente la classificazione di Cloudflare Web Analytics ai sensi dell'art. 122 del Codice Privacy e delle Linee Guida del Garante del 10 giugno 2021 e ritiene applicabile l'esenzione dal consenso prevista per gli strumenti di analisi statistica anonima.

Garanzia aggiuntiva: qualora future evoluzioni interpretative del Garante o dell'EDPB dovessero richiedere il consenso esplicito anche per strumenti di analisi statistica server-side senza cookie, il Titolare si impegna ad adeguare immediatamente il servizio alla nuova interpretazione, subordinando l'attivazione di Cloudflare Web Analytics al consenso espresso tramite il banner cookie.

I dati possono essere trasferiti negli Stati Uniti. Cloudflare, Inc. aderisce al EU-US Data Privacy Framework (DPF).

Base giuridica: legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f del GDPR, supportato da una valutazione di bilanciamento (LIA) documentata internamente.

Per ulteriori informazioni: Informativa privacy Cloudflare.

12.2 Scalapay Widget (Scalapay S.r.l.)

Le pagine prodotto del sito integrano il widget di Scalapay S.r.l. (Via Filippo Turati, 25, 20121 Milano), che mostra all'utente la possibilità di suddividere il pagamento in rate. Il widget viene caricato tramite script esterni dai server di Scalapay e può raccogliere dati tecnici relativi al dispositivo e alla sessione di navigazione (indirizzo IP, tipo di browser, sistema operativo) ai fini del corretto funzionamento del servizio e della prevenzione delle frodi.

Il widget non installa cookie di profilazione o marketing. Il trattamento dei dati personali da parte di Scalapay in qualità di titolare autonomo avviene secondo la propria informativa privacy: https://www.scalapay.com/it/privacy.

Base giuridica: legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f del GDPR; esecuzione di misure precontrattuali ai sensi dell'art. 6, par. 1, lett. b del GDPR.

12.3 Google reCAPTCHA

Per la descrizione completa del servizio Google reCAPTCHA si rinvia alla Sezione 6.

13. Interazione con social network e piattaforme esterne

Il sito web mazzolaluce.com include le seguenti forme di interazione con social network e piattaforme esterne:

13.1 Link alle pagine social del Titolare

Nel footer del sito sono presenti link diretti alle pagine ufficiali di Mazzola Luce sui seguenti social network: Facebook (facebook.com/MazzolaLuce), YouTube (youtube.com/user/totix27) e TikTok (tiktok.com/@mazzolaluce).

Si tratta di semplici collegamenti ipertestuali che non installano cookie né trasmettono dati a terzi durante la navigazione sul nostro sito. L'eventuale raccolta di dati avviene esclusivamente dopo che l'utente ha cliccato sul link ed è stato reindirizzato sulla piattaforma esterna, dove si applicano le rispettive informative privacy:

• Facebook: facebook.com/privacy/policy
• YouTube (Google): policies.google.com/privacy
• TikTok: tiktok.com/legal/privacy-policy

13.2 Pulsante di condivisione su Facebook (pagine blog)

Le pagine del blog includono un pulsante "Condividi" implementato come semplice link di condivisione (share URL) che non carica SDK, plugin sociali o cookie di Facebook.

13.3 Pulsante di condivisione nativo (pagine prodotto)

Le pagine prodotto includono un pulsante "Condividi" che utilizza la Web Share API nativa del browser, senza installazione di cookie o trasmissione di dati a piattaforme terze da parte del sito.

13.4 Link a Trustpilot

Il sito include link alla pagina delle recensioni di Mazzola Luce su Trustpilot (it.trustpilot.com/review/mazzolaluce.com): semplici collegamenti ipertestuali che non installano cookie. Privacy Trustpilot.

14. Social Media

14.1 Facebook – Meta Pixel e Conversions API (CAPI)

Il sito web utilizza due canali di tracciamento delle conversioni Meta, entrambi forniti da Meta Platforms Ireland Ltd (4 Grand Canal Square, Grand Canal Harbour, Dublino 2, Irlanda), titolare del trattamento per gli utenti residenti nello Spazio Economico Europeo:

(a) Meta Pixel (canale browser-side): tag JavaScript caricato lato client che monitora le azioni degli utenti sul sito web (visualizzazioni di pagina, aggiunta al carrello, completamento di acquisti) tramite cookie di prima e terza parte. Il Pixel viene attivato esclusivamente dopo il consenso ai cookie marketing tramite il banner cookie.

(b) Meta Conversions API – CAPI (canale server-side): i medesimi eventi di conversione vengono trasmessi a Meta anche tramite un canale server-to-server che invia gli eventi direttamente dal server di Mazzola Luce S.r.l. ai server Meta, in parallelo o in alternativa al Pixel. La CAPI consente una misurazione più affidabile in scenari con limitazioni dei cookie di terze parti (es. Safari ITP, AdBlock). I dati personali trasmessi tramite CAPI (e-mail, telefono, nome, cognome, indirizzo, IP, user-agent) vengono sottoposti a hashing crittografico unidirezionale (SHA-256) prima della trasmissione.

Attivazione condizionata al consenso: entrambi i canali (Pixel e CAPI) vengono attivati esclusivamente in presenza di consenso ai cookie marketing tramite il banner cookie. La CAPI è integrata con il sistema di consent gestito dal Titolare: in assenza di consenso, né il Pixel né la CAPI trasmettono dati a Meta. La CAPI invia eventi sempre in modalità deduplicated rispetto al Pixel per evitare conteggi multipli della medesima conversione.

Natura dei dati hashati ai sensi del GDPR: ai sensi delle interpretazioni dell'EDPB, i dati sottoposti a hashing crittografico restano qualificabili come dati personali pseudonimizzati; si applicano pertanto integralmente le tutele del GDPR.

Rapporto di contitolarità: per l'utilizzo del Pixel e della CAPI, Mazzola Luce S.r.l. e Meta Platforms Ireland Ltd operano in regime di contitolarità ex art. 26 GDPR sulla base del Meta Controller Addendum (cfr. Sezione 15.1).

Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.

Opt-out: revoca del consenso tramite il banner cookie del nostro sito; la revoca disattiva contestualmente sia il Pixel sia la CAPI.

14.2 Facebook Audience Network

Facebook Audience Network è un servizio pubblicitario fornito agli utenti dello Spazio Economico Europeo da Meta Platforms Ireland Ltd (4 Grand Canal Square, Grand Canal Harbour, Dublino 2, Irlanda). I dati possono essere ulteriormente trattati da Meta Platforms, Inc. (USA) sulla base del EU-US Data Privacy Framework. Il servizio consente a Meta di mostrare annunci pubblicitari di Mazzola Luce all'interno di app e siti partner della rete Audience Network, sulla base del profilo pubblicitario degli utenti gestito da Meta.

Dati raccolti: Cookie, Dati di utilizzo e identificatori univoci di dispositivi per la pubblicità (ad esempio: IDFA per iOS, GAID per Android), eventi di conversione (visualizzazioni, clic, acquisti) trasmessi dal Pixel di Meta integrato sul sito.

Attivazione condizionata al consenso: il servizio è attivato esclusivamente dopo il consenso dell'utente ai cookie di marketing tramite il banner cookie. Meta è certificata sotto il EU-US Data Privacy Framework.

Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.

Opt-out: revoca del consenso tramite il banner cookie del nostro sito; in via aggiuntiva, è possibile gestire le preferenze pubblicitarie di Meta tramite le impostazioni annunci di Facebook, oppure tramite la piattaforma Your Online Choices (EDAA).

Privacy Policy Meta.

14.3 YouTube

Il sito incorpora video di YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda). I video sono integrati nella modalità standard di YouTube (youtube.com): ciò comporta che, al caricamento della pagina contenente il video o all'interazione con esso, possono essere installati cookie e identificatori di Google (sia di prima che di terza parte) sul dispositivo dell'utente, che possono essere collegati al suo account Google ove autenticato. I dati raccolti (pagine visitate, interazione con il player, durata della visualizzazione, dati del dispositivo, IP) vengono utilizzati da Google anche per finalità di personalizzazione pubblicitaria.

Attivazione condizionata al consenso: in considerazione del fatto che la modalità standard di YouTube installa cookie di tracciamento prima dell'interazione con il video, il caricamento dei video YouTube avviene esclusivamente dopo che l'utente ha prestato il consenso ai cookie di marketing tramite il banner cookie. In assenza di consenso, i video non vengono caricati e nessun dato è trasmesso a YouTube/Google.

Trasferimenti USA: Google aderisce al EU-US Data Privacy Framework.

Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.

Opt-out: revoca del consenso tramite il banner cookie del nostro sito; in via aggiuntiva, gestione delle preferenze di personalizzazione tramite le impostazioni annunci Google.

Privacy Policy Google/YouTube.

15. Destinatari dei dati e rapporti di contitolarità

Ci avvaliamo di fornitori vincolati da accordi di trattamento ai sensi dell'art. 28 GDPR o, ove applicabile, da accordi di contitolarità ai sensi dell'art. 26 GDPR. Le categorie di destinatari includono:

• fornitori di servizi di hosting e manutenzione dell'infrastruttura IT;
• corrieri e spedizionieri per la consegna dei prodotti, incluso Qapla' per le notifiche di tracking;
• fornitori di servizi di pagamento e sistemi antifrode (Stripe, PayPal, Scalapay, Unicredit);
• fornitori di servizi di live chat e assistenza clienti online (Zendesk Chat);
• fornitori di piattaforme gestionali ERP per la gestione amministrativa e contabile (Mexal Passepartout);
• fornitori di servizi di marketing, analisi e ottimizzazione del sito web;
• consulenti fiscali e contabili;
• autorità pubbliche, enti o forze dell'ordine nei casi previsti dalla normativa vigente.

I dati personali non saranno comunicati, ceduti o trasferiti a soggetti terzi per finalità diverse da quelle indicate nella presente informativa, salvo obbligo di legge o previo consenso dell'interessato.

15.1 Rapporti di contitolarità (art. 26 GDPR)

Per l'utilizzo di determinati servizi, il Titolare opera in regime di contitolarità del trattamento con i seguenti soggetti, in virtù di accordi che definiscono le rispettive responsabilità:

Per esercitare i diritti dell'interessato relativamente ai trattamenti in contitolarità, è possibile rivolgersi al Titolare ai recapiti indicati nella Sezione 1, che provvederà a inoltrare la richiesta al contitolare competente ove necessario.

16. Cookie – Gestione e consenso

Potete gestire le preferenze cookie dal vostro browser o eliminare i cookie già installati. Istruzioni: Chrome, Firefox, Safari, Edge.

17. Opt-out specifici per servizio

In via puramente informativa e aggiuntiva, e senza che ciò sostituisca o renda più agevole la revoca tramite banner, riportiamo di seguito i link alle pagine di gestione delle preferenze pubblicitarie messe a disposizione dai singoli fornitori:

18. Trasferimenti di dati verso Paesi terzi

Per i trasferimenti di dati personali verso Paesi al di fuori dello Spazio Economico Europeo (in particolare Stati Uniti), il Titolare adotta le garanzie previste dal Capo V del GDPR.

Transfer Impact Assessment (TIA): in conformità con la sentenza CGUE Schrems II (causa C-311/18) e con le Raccomandazioni 01/2020 dell'EDPB, il Titolare ha effettuato per ciascun fornitore extra-SEE una valutazione documentata sull'impatto del trasferimento. Le TIA sono conservate internamente e disponibili su richiesta dell'Autorità Garante.

Misure supplementari: per i fornitori che aderiscono al EU-US Data Privacy Framework, il Titolare ha mantenuto in essere le Clausole Contrattuali Standard come garanzia di fallback, in modo che, in caso di invalidazione del DPF, i trasferimenti possano continuare senza soluzione di continuità.

19. Diritti dell'interessato

Per esercitare tali diritti, è possibile contattare il Titolare ai seguenti recapiti:

Il Titolare risponderà entro un mese dalla ricezione della richiesta, prorogabile di ulteriori due mesi in caso di particolare complessità o di numero elevato di richieste (art. 12, par. 3, GDPR). L'esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive.

Diritto di reclamo all'Autorità Garante

20. Sicurezza e gestione delle violazioni dei dati

Il Titolare adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 del GDPR per garantire un livello di sicurezza appropriato al rischio del trattamento, tra cui: cifratura delle comunicazioni in transito (HTTPS/TLS), pseudonimizzazione e cifratura dei dati ove applicabile, controllo degli accessi mediante credenziali individuali e ruoli, backup periodici e procedure di disaster recovery, formazione del personale autorizzato, contratti di trattamento ex art. 28 GDPR con tutti i fornitori che trattano dati per conto del Titolare.

Procedura in caso di violazione dei dati personali (data breach): in caso di violazione dei dati personali, il Titolare adotterà tempestivamente le misure necessarie a contenere e mitigare gli effetti della violazione. Ai sensi degli artt. 33 e 34 del GDPR:

• la violazione sarà notificata al Garante per la protezione dei dati personali entro 72 ore dal momento in cui il Titolare ne è venuto a conoscenza, salvo che la violazione sia improbabile presenti un rischio per i diritti e le libertà degli interessati;
• qualora la violazione presenti un rischio elevato per i diritti e le libertà delle persone fisiche, gli interessati saranno informati senza ingiustificato ritardo, con un linguaggio chiaro e semplice, riguardo alla natura della violazione, alle conseguenze probabili e alle misure adottate.

21. Trattamento dei dati dei minori

Il sito web mazzolaluce.com e i servizi offerti non sono destinati a soggetti di età inferiore a 14 anni. Ai sensi dell'art. 8 del GDPR e dell'art. 2-quinquies del D.Lgs. 196/2003, in Italia il trattamento dei dati personali del minore basato sul consenso è lecito soltanto se il minore ha almeno 14 anni; per i minori di età inferiore, il consenso deve essere prestato dal soggetto che esercita la responsabilità genitoriale.

Il Titolare non raccoglie consapevolmente dati personali di minori di 14 anni. Genitori o tutori che ritengano che il proprio figlio minore abbia fornito dati al sito senza la loro autorizzazione sono invitati a contattare il Titolare ai recapiti indicati nella Sezione 1.

22. Programma fedeltà e raccolta punti

Il sito web offre ai clienti registrati un programma di fedeltà (raccolta punti) che consente di accumulare punti in occasione degli acquisti effettuati e di convertirli in sconti su acquisti successivi. Il programma è disciplinato da un regolamento separato disponibile alla pagina www.mazzolaluce.com/raccolta-punti.

Dati trattati: dati anagrafici dell'account (nome, cognome, e-mail), storico degli acquisti effettuati sul sito, importi spesi, punti accumulati e utilizzati, sconti applicati.

Finalità: (a) gestione operativa del programma fedeltà (calcolo, accreditamento e utilizzo dei punti); (b) comunicazione all'utente del saldo punti e delle promozioni connesse al programma.

Profilazione: il programma fedeltà comporta la registrazione e l'aggregazione dello storico acquisti dell'utente, attività che, ai sensi dell'art. 4, n. 4, del GDPR, possono integrare una forma di profilazione commerciale. Tale profilazione è limitata al perimetro del programma fedeltà (calcolo punti, segmentazione clienti per livelli di fedeltà) e non viene utilizzata per finalità di marketing avanzato (es. raccomandazioni prodotto personalizzate, segmentazione comportamentale per campagne pubblicitarie) senza un ulteriore consenso espresso dell'utente.

Visualizzazione del saldo punti: il saldo punti viene visualizzato esclusivamente all'interno dell'area riservata dell'utente registrato (dopo login). Il saldo non viene mostrato ad utenti non autenticati.

Durata e scadenza dei punti: i punti accumulati hanno validità di 24 mesi dalla data di accreditamento; trascorso tale termine senza utilizzo, i punti decadono automaticamente. In caso di inattività dell'account per 24 mesi consecutivi (assenza di acquisti o login), il saldo punti viene azzerato.

Cessione e trasferimento punti: i punti sono strettamente personali e non possono essere ceduti, trasferiti o convertiti in denaro contante.

Base giuridica: esecuzione del contratto di adesione al programma fedeltà ai sensi dell'art. 6, par. 1, lett. b del GDPR (l'iscrizione al programma costituisce un contratto accessorio rispetto al contratto di vendita); per eventuali finalità di marketing avanzato basate sul profilo fedeltà, consenso espresso ai sensi dell'art. 6, par. 1, lett. a del GDPR.

Conservazione: i dati relativi al programma fedeltà sono conservati fino alla cessazione dell'adesione o alla cancellazione dell'account, fatti salvi gli obblighi di conservazione fiscale e civilistica.

Diritto di recesso: l'utente può in qualsiasi momento revocare l'adesione al programma fedeltà scrivendo a [email protected]. La revoca comporta la perdita dei punti non ancora utilizzati.

23. Recensioni dei prodotti e verifica autenticità

Il sito mazzolaluce.com pubblica recensioni dei prodotti rilasciate dai clienti.

Trasparenza sull'autenticità (Codice del Consumo come modificato dal D.Lgs. 7 marzo 2023, n. 26, attuativo della Direttiva UE 2019/2161 cd. Direttiva Omnibus): in conformità agli obblighi di trasparenza sulle recensioni dei consumatori, il Titolare informa che:

• le recensioni pubblicate sulle schede prodotto del sito provengono da clienti che hanno effettivamente acquistato il prodotto recensito (recensioni verificate); la verifica dell'acquisto avviene mediante associazione tra l'account utente che pubblica la recensione e l'ordine corrispondente nel sistema gestionale del Titolare;
• le recensioni mostrate nel modulo di recensioni cliente nel footer del sito (provenienti da Google e altre piattaforme di recensione esterne) sono raccolte da fonti terze e potrebbero non essere singolarmente verificate dal Titolare quanto all'effettiva esistenza di un rapporto contrattuale; il Titolare riporta fedelmente le recensioni così come pubblicate sulle piattaforme di origine, senza alterazioni;
• il Titolare non offre, né richiede, alcun corrispettivo o vantaggio in cambio della pubblicazione di recensioni positive;
• le recensioni vengono moderate prima della pubblicazione esclusivamente per verificare l'assenza di contenuti illeciti, offensivi, fuori tema o in violazione di diritti di terzi; non sono filtrate in base alla valutazione espressa (positiva o negativa);
• vengono pubblicate sia le recensioni positive sia quelle negative, salvo i casi di moderazione di cui sopra.

Trattamento dei dati personali nelle recensioni: pubblicando una recensione, l'utente acconsente alla pubblicazione del nome visualizzato (anche in forma di pseudonimo o iniziali, a scelta dell'utente), del testo della recensione e di eventuali immagini caricate. Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR. L'utente può in qualsiasi momento richiedere la rimozione della propria recensione scrivendo a [email protected].

24. Natura del conferimento dei dati

• Obbligatorio per l'esecuzione del contratto (fatturazione, spedizione, pagamento): il mancato conferimento rende impossibile l'ordine.
• Obbligatorio per obblighi di legge (dati fiscali): il mancato conferimento può impedire l'emissione di fattura.
• Facoltativo per marketing, newsletter e profilazione: non pregiudica l'esecuzione del contratto.
• Facoltativo per dati aggiuntivi nelle richieste precontrattuali (es. telefono): non impedisce la gestione della richiesta.

25. Informativa Privacy – Acquisto come Ospite

25.1 Dati raccolti

Nome e cognome, indirizzo di spedizione e/o fatturazione, telefono, e-mail, eventuali dati fiscali per la fattura.

25.2 Finalità del trattamento

I dati saranno utilizzati esclusivamente per: gestire ed evadere l'ordine, effettuare la spedizione, adempiere a obblighi legali e fiscali, fornire assistenza post-vendita.

Nessun utilizzo per marketing senza consenso: i dati raccolti per l'acquisto come ospite non saranno utilizzati per finalità di marketing, profilazione o invio di comunicazioni promozionali in assenza di un consenso espresso dell'utente. In particolare, il Titolare non si avvale della facoltà del soft spam ex art. 130, comma 4, del Codice Privacy (cfr. Sezione 4.2).

25.3 Conservazione dei dati

I dati saranno conservati per il tempo necessario all'evasione dell'ordine e successivamente per 10 anni per obblighi fiscali e civilistici.

25.4 Comunicazione dei dati

I dati potranno essere comunicati a: corrieri e spedizionieri, consulenti contabili/fiscali, enti o autorità pubbliche nei casi previsti dalla normativa.

25.5 Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate per prevenire accessi non autorizzati (cfr. Sezione 20).

25.6 Diritti dell'interessato

Puoi esercitare tutti i diritti previsti dagli artt. 15-22 del GDPR come indicato nella Sezione 19.

26. Informative brevi nei punti di raccolta dati

In conformità all'art. 13 del GDPR, ogni punto di raccolta dati presente sul sito web mazzolaluce.com è corredato da un'informativa breve contestuale.

26.1 Modulo di registrazione account

26.2 Checkout (acquisto con account e come ospite)

26.3 Iscrizione alla newsletter (modulo dedicato)

26.4 Modulo di contatto / richiesta assistenza

26.5 Live chat (Zendesk Chat)

26.6 Recensioni prodotto

27. Cookie banner – Requisiti e conformità

In conformità alle Linee Guida del Garante per la protezione dei dati personali del 10 giugno 2021, il cookie banner visualizzato al primo accesso al sito web mazzolaluce.com rispetta i seguenti requisiti:

28. Definizioni e riferimenti legali

Definizioni

Dati Personali: qualunque informazione che renda identificata o identificabile una persona fisica.

Dati di Utilizzo: informazioni raccolte automaticamente: IP, nomi a dominio, URI, orario della richiesta, metodo, dimensione risposta, codice di stato, Paese, browser, sistema operativo, itinerario di navigazione.

Utente: l'individuo che utilizza il Sito Web, coincidente con l'Interessato salvo diversa specificazione.

Interessato: la persona fisica cui si riferiscono i Dati Personali.

Responsabile del Trattamento: soggetto che tratta dati per conto del Titolare (art. 28 GDPR).

Titolare del Trattamento: soggetto che determina finalità e mezzi del trattamento (art. 4, n. 7, GDPR).

Cookie: piccola porzione di dati conservata sul dispositivo dell'Utente.

Profilazione: qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati per valutare determinati aspetti personali relativi a una persona fisica (art. 4, n. 4, GDPR).

Riferimenti legali

Regolamento (UE) 2016/679 (GDPR), artt. 13 e 14; D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018; Linee Guida del Garante in materia di cookie del 10 giugno 2021; D.Lgs. 26/2023 (attuativo della Direttiva UE 2019/2161 – Direttiva Omnibus); Direttiva UE 2015/2366 (PSD2) e D.Lgs. 11/2010 in materia di prevenzione frodi nei pagamenti elettronici; D.Lgs. 141/2010 (TUB) in materia di credito al consumo; D.Lgs. 231/2007 in materia di antiriciclaggio.

29. Modifiche alla presente informativa

Il Titolare si riserva il diritto di modificare la presente informativa in qualsiasi momento. In caso di modifiche sostanziali verrà data comunicazione tramite banner sul sito o notifica via e-mail (art. 13, par. 3, GDPR).

Le versioni precedenti dell'informativa sono conservate dal Titolare e disponibili agli interessati su richiesta scrivendo a [email protected].

Ultimo aggiornamento: 29/04/2026 · Versione 4.5