Politica sulla Privacy e sui Cookie di mazzolaluce.com
La sicurezza dei vostri dati personali è di fondamentale importanza per noi. In conformità con il Regolamento (UE) 2016/679 (GDPR), con il D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali, come modificato dal D.Lgs. 101/2018) e con le Linee Guida del Garante per la protezione dei dati personali in materia di cookie e altri strumenti di tracciamento del 10 giugno 2021, tutte le operazioni di trattamento dei dati vengono gestite con la massima cura.
Questa informativa, resa ai sensi degli artt. 13 e 14 del GDPR, offre un quadro chiaro sui tipi di dati personali raccolti attraverso il nostro sito web, le finalità e le basi giuridiche del trattamento, i soggetti destinatari, i tempi di conservazione, i diritti degli interessati e le misure adottate per la protezione dei dati.
Indice
- Titolare del Trattamento dei Dati
- Finalità e basi giuridiche del trattamento
- Tempi di conservazione dei dati
- Trasferimento dei dati a terzi e partner
- Presenza online e ottimizzazione del sito web
- Google reCAPTCHA
- Modalità di consenso di Google (Consent Mode v2)
- Google Tag Manager
- Heat mapping e registrazione sessioni
- Live chat e assistente virtuale con intelligenza artificiale
- Interazione con piattaforme di supporto e feedback
- Interazione con piattaforme di raccolta dati e terze parti
- Interazione con social network e piattaforme esterne
- Social Media
- Destinatari dei dati
- Cookie – Gestione e consenso
- Opt-out specifici per servizio
- Trasferimenti di dati verso Paesi terzi
- Diritti dell'interessato
- Sicurezza e gestione delle violazioni dei dati
- Trattamento dei dati dei minori
- Programma fedeltà e raccolta punti
- Recensioni dei prodotti e verifica autenticità
- Natura del conferimento dei dati
- Informativa – Acquisto come Ospite
- Informative brevi nei punti di raccolta dati
- Cookie banner – Requisiti e conformità
- Assistente virtuale (LUC.IA)
- Definizioni e riferimenti legali
- Modifiche alla presente informativa
1. Titolare del Trattamento dei Dati
MAZZOLA LUCE S.R.L.
Sede legale: Via Paolo Paternostro, 90 – 90141 Palermo (PA), Italia
Showroom: Via Principe di Villafranca, 36 – Palermo
P.IVA / C.F.: 06309000823
E-mail: [email protected]
PEC: [email protected]
Il Titolare del Trattamento è il soggetto che determina le finalità e i mezzi del trattamento dei dati personali raccolti attraverso il sito web mazzolaluce.com, ai sensi dell'art. 4, n. 7, del GDPR.
Ambito della presente informativa: il presente documento copre esclusivamente i trattamenti effettuati attraverso il sito web mazzolaluce.com. Per i trattamenti effettuati presso il punto vendita fisico (showroom) di Palermo — ad esempio richieste di preventivo cartacee, registro visite, eventuale videosorveglianza — è disponibile un'informativa specifica esposta presso il punto vendita ai sensi dell'art. 13 del GDPR.
Responsabile della Protezione dei Dati (DPO/RPD): ai sensi dell'art. 37 del GDPR, il Titolare ha valutato che la nomina di un DPO non è obbligatoria, non rientrando nei casi previsti dalla norma. Le richieste in materia di protezione dei dati possono essere indirizzate direttamente al Titolare ai recapiti sopra indicati.
Per qualsiasi richiesta riguardante la protezione dei dati o per esercitare i diritti dell'interessato (vedi Sezione 19), è possibile inviare una comunicazione ai recapiti sopra indicati.
2. Finalità e basi giuridiche del trattamento
2.1 Registro dei file (log di sistema)
Ogni qualvolta si visita il nostro sito web, il browser del dispositivo invia automaticamente dati al nostro server, che vengono archiviati temporaneamente in file di registro. Questi dati includono: data e ora della visita, nome della pagina visualizzata, indirizzo IP del dispositivo, URL di provenienza, volume di dati trasmessi, tempo di risposta, dettagli sul browser (prodotto e versione) e nome del provider di servizi internet.
Base giuridica: legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f del GDPR (sicurezza della rete e prevenzione di abusi). Il Titolare ha effettuato una valutazione del bilanciamento (LIA) tra il proprio interesse e i diritti degli interessati, conservata internamente e disponibile su richiesta dell'Autorità di controllo.
2.2 Tracciamento, cookie e social media
Utilizziamo i cookie per facilitare la navigazione sul nostro sito web. Ulteriori dettagli sono disponibili nella Sezione 16 e nelle sezioni dedicate ai singoli servizi.
2.3 Gestione del rapporto contrattuale
2.3.1 Elaborazione dei dati in fase precontrattuale
Modulo di contatto / e-mail: Potete contattarci tramite il nostro modulo di contatto o via e-mail. Saranno trattati il vostro nome e indirizzo e-mail; potete fornire volontariamente ulteriori dati. Basi giuridiche: art. 6, par. 1, lett. b e f del GDPR.
Telefono: Potete contattarci telefonicamente. Registreremo il vostro nome e numero di telefono. Basi giuridiche: art. 6, par. 1, lett. b e f del GDPR.
Assistente virtuale: il sito mette a disposizione un assistente conversazionale basato su intelligenza artificiale. Il trattamento dei dati connesso a tale servizio è descritto nella Sezione 10.2.
2.3.2 Esecuzione del contratto
Per processare un contratto di acquisto, trattiamo: nome, cognome, indirizzi di fatturazione e consegna, dati di pagamento, e-mail, telefono e, facoltativamente, data di nascita.
Base giuridica: art. 6, par. 1, lett. b e c del GDPR.
2.3.3 Notifiche di stato della spedizione
Per consentire all'utente di seguire lo stato di consegna del proprio ordine, inviamo aggiornamenti automatici via e-mail tramite il servizio Qapla' S.P.A. SB (Via XXVII Luglio, 22 – 50026 San Casciano in Val di Pesa, FI). Le comunicazioni includono: conferma di presa in carico dal corriere, in transito, in consegna, consegnato, eventuali notifiche di anomalia.
Dati trattati: nome e cognome, indirizzo e-mail, indirizzo di consegna, numero di tracking del corriere, riferimenti dell'ordine.
Base giuridica: esecuzione del contratto ai sensi dell'art. 6, par. 1, lett. b del GDPR. Le notifiche di stato della spedizione sono prestazioni accessorie strumentali all'esecuzione del contratto di vendita a distanza e all'adempimento dell'obbligo di consegna; non si tratta pertanto di comunicazioni promozionali e non richiedono consenso preventivo dell'utente.
Eventuali contenuti promozionali: qualora le e-mail di tracking includano sezioni promozionali, esse saranno inviate esclusivamente a utenti che hanno prestato il consenso esplicito alla newsletter ai sensi della Sezione 4.2.
Natura del rapporto con Qapla': Qapla' S.P.A. SB opera in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di apposito accordo (DPA) stipulato con il Titolare. I server di Qapla' sono ubicati in Italia.
Conservazione: i dati di spedizione presso Qapla' sono conservati per il tempo necessario all'evasione e tracciamento dell'ordine e successivamente per il termine di garanzia legale (26 mesi dalla consegna), come da accordo di trattamento.
Privacy Qapla': https://www.qapla.it/privacy-policy/.
2.3.4 Servizi di spedizione e logistica
Collaboriamo con corrieri per la consegna dei prodotti. Potremmo condividere: nome, cognome, indirizzo postale, e-mail e telefono.
Base giuridica: art. 6, par. 1, lett. b del GDPR.
2.4 Dati personali di soggetti terzi comunicati dall'utente
Può accadere che l'utente fornisca a Mazzola Luce S.r.l. dati personali di soggetti terzi, ad esempio quando l'indirizzo di spedizione è diverso da quello dell'acquirente, quando si acquista un prodotto da consegnare a un'altra persona o quando si richiede l'emissione di fattura a favore di un soggetto diverso dall'ordinante.
Responsabilità dell'utente: Chi comunica dati personali di terzi a Mazzola Luce S.r.l. si assume la piena responsabilità del loro conferimento. L'utente deve aver preventivamente ottenuto il consenso del soggetto terzo interessato e averlo informato della presente informativa sulla privacy, ai sensi dell'art. 13 del GDPR. Il conferimento di dati di terzi senza il loro consenso può costituire violazione della normativa sulla protezione dei dati personali.
Mazzola Luce S.r.l. tratterà i dati personali di soggetti terzi esclusivamente per le finalità per cui sono stati comunicati (ad esempio: spedizione dell'ordine, emissione di fattura). In ogni caso, il Titolare adempirà all'obbligo di informativa nei confronti del soggetto terzo ai sensi dell'art. 14 del GDPR.
Base giuridica: esecuzione del contratto ai sensi dell'art. 6, par. 1, lett. b del GDPR; legittimo interesse ai sensi dell'art. 6, par. 1, lett. f del GDPR.
2.5 Buoni regalo e Gift Card – Trattamento dati del destinatario
In caso di acquisto di buoni regalo o Gift Card da inviare a un soggetto terzo, verranno raccolti i seguenti dati personali del destinatario: nome e indirizzo e-mail.
Finalità: tali dati saranno trattati esclusivamente per consentire l'invio della Gift Card al destinatario via e-mail, il suo riscatto e l'adempimento delle prestazioni contrattuali connesse.
Conservazione: i dati del destinatario (nome e indirizzo e-mail) saranno conservati fino alla conferma di riscatto della Gift Card ovvero, se cronologicamente successivo, fino alla scadenza del termine per l'esercizio del diritto di recesso da parte dell'acquirente. Trascorso tale termine, i dati del destinatario trattati per le finalità qui indicate saranno cancellati.
Obbligo informativo: l'acquirente della Gift Card è tenuto a informare il destinatario del trattamento dei suoi dati e della presente informativa prima di comunicare i dati a Mazzola Luce S.r.l., come indicato nella Sezione 2.4.
Base giuridica: esecuzione del contratto ai sensi dell'art. 6, par. 1, lett. b del GDPR.
2.6 Piattaforme interne di gestione dati (ERP/gestionale)
Per finalità di gestione amministrativa, contabile e logistica degli ordini, i dati personali degli utenti raccolti tramite il sito web possono essere importati e trattati all'interno del sistema gestionale Mexal Passepartout (Passepartout S.p.A., Via Consiglio dei Sessanta 99, 47891 Dogana, Repubblica di San Marino).
Dati trattati: dati anagrafici (nome, cognome, ragione sociale), indirizzi di fatturazione e spedizione, codice fiscale/partita IVA, dati contabili (ordini, fatture, note di credito, pagamenti), indirizzo e-mail e numero di telefono.
Finalità: gestione del ciclo dell'ordine (dalla ricezione alla fatturazione), adempimento degli obblighi fiscali e contabili, gestione del magazzino, generazione di documenti di trasporto, gestione dei resi e dell'assistenza post-vendita.
Misure di sicurezza: l'accesso al gestionale è protetto da credenziali individuali ed è limitato al personale autorizzato. I dati sono conservati su server ubicati in Italia. È stato stipulato un accordo di trattamento ai sensi dell'art. 28 del GDPR con il fornitore del servizio.
Conservazione: i dati trattati nel gestionale seguono i medesimi tempi di conservazione indicati nella Sezione 3 della presente informativa.
Base giuridica: esecuzione del contratto ai sensi dell'art. 6, par. 1, lett. b del GDPR; adempimento di obblighi legali ai sensi dell'art. 6, par. 1, lett. c del GDPR.
2.7 Prevenzione delle frodi e gestione del rischio creditizio
Al fine di prevenire e contrastare frodi, transazioni non autorizzate e abusi, e di proteggere la sicurezza dei nostri clienti, dei nostri sistemi e delle transazioni commerciali, ci avvaliamo dei sistemi antifrode integrati nei seguenti servizi di pagamento:
- Stripe Radar (Stripe Payments Europe, Ltd., Dublino 2, Irlanda) – sistema di machine learning che, esclusivamente al momento dell'inserimento dei dati di pagamento e della finalizzazione della transazione, analizza in tempo reale centinaia di indicatori di rischio (indirizzo IP, geolocalizzazione, pattern di utilizzo della carta, fingerprint del dispositivo limitato alla pagina di checkout, velocità di compilazione dei campi) per attribuire un punteggio di rischio a ciascuna transazione e bloccare automaticamente quelle sospette.
- Sistema antifrode PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxembourg) – analisi automatica delle transazioni basata su modelli di rischio proprietari, che valuta la coerenza dei dati dell'acquirente, la storia dell'account e il comportamento di pagamento.
- Sistema antifrode Scalapay (Scalapay S.r.l., Via Filippo Turati, 25, 20121 Milano) – verifica automatica dell'identità e dell'affidabilità creditizia dell'acquirente nell'ambito del servizio di pagamento rateale, con analisi del rischio basata su scoring interno.
- Sistema di valutazione e antifrode Klarna (Klarna Bank AB (publ), Sveavägen 46, 111 34 Stoccolma, Svezia) – verifica automatica dell'identità dell'acquirente e valutazione della richiesta di pagamento dilazionato, effettuate da Klarna quando l'utente sceglie questo metodo al checkout (disponibile tramite la piattaforma Stripe).
Perimetro temporale del fingerprinting antifrode: i meccanismi di fingerprinting del dispositivo per finalità antifrode (Stripe Radar) si attivano esclusivamente nel momento in cui l'utente accede alla pagina di checkout e inserisce i dati di pagamento. Tali meccanismi non sono attivi durante la normale navigazione del sito (homepage, schede prodotto, blog, pagine informative) e non sono utilizzati per finalità di profilazione, marketing o tracciamento pubblicitario.
Dati trattati: dati di pagamento (numero carta parziale, data di scadenza, CVV in forma tokenizzata), indirizzo IP, dati del dispositivo (browser, sistema operativo, fingerprint limitato alla pagina di checkout), indirizzo di fatturazione e spedizione, importo e dettagli dell'ordine, storico delle transazioni effettuate sul sito.
Finalità: i dati sono trattati esclusivamente per la prevenzione di frodi, la protezione dei clienti e dell'infrastruttura di pagamento, e la gestione del rischio creditizio associato alle transazioni. Non vengono utilizzati per finalità di marketing o profilazione commerciale.
Conservazione: i dati antifrode sono trattati e conservati direttamente dai provider di pagamento (Stripe, PayPal, Scalapay, Klarna) in qualità di titolari autonomi del trattamento. I tempi di conservazione seguono le policy dei singoli provider, in conformità con gli obblighi di legge in materia di antiriciclaggio (D.Lgs. 231/2007) e di prevenzione frodi nei pagamenti elettronici (Direttiva PSD2 e D.Lgs. 11/2010). Il Titolare non conserva una propria copia separata dei dati antifrode dei provider e si attiene alle informative privacy degli stessi.
Base giuridica: esecuzione del contratto e di misure precontrattuali richieste dall'interessato ai sensi dell'art. 6, par. 1, lett. b del GDPR (la prevenzione delle frodi è condizione strettamente necessaria al perfezionamento del pagamento richiesto); adempimento di obblighi di legge in materia di prevenzione delle frodi nei pagamenti elettronici e di antiriciclaggio ai sensi dell'art. 6, par. 1, lett. c del GDPR; legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f del GDPR per la protezione dei propri sistemi e dei propri clienti, supportato da una valutazione di bilanciamento (LIA) documentata internamente.
Informazioni sulle decisioni automatizzate (art. 13, par. 2, lett. f, e art. 22 GDPR) – Servizio Scalapay
Nell'ambito del servizio di pagamento rateale offerto da Scalapay, la richiesta dell'utente è soggetta a una decisione basata esclusivamente su un trattamento automatizzato, inclusa la profilazione, che produce effetti giuridici (accettazione o rifiuto della richiesta di pagamento rateale). Tale trattamento è necessario alla conclusione del contratto di pagamento rateale richiesto dall'interessato e rientra nell'eccezione prevista dall'art. 22, par. 2, lett. a del GDPR.
Logica utilizzata e variabili decisorie: il sistema di scoring automatico di Scalapay valuta l'affidabilità creditizia dell'utente sulla base di:
- dati anagrafici e di identità forniti (nome, cognome, data di nascita, codice fiscale);
- importo della transazione richiesta e suddivisione in rate;
- storico delle transazioni effettuate dall'utente con il servizio Scalapay (puntualità nei pagamenti, eventuali ritardi o insoluti);
- comportamento di pagamento aggregato e segnali di rischio elaborati dai sistemi interni Scalapay;
- coerenza dei dati anagrafici e degli strumenti di pagamento utilizzati.
Misure adeguate ex art. 22, par. 3 GDPR: Scalapay applica soglie di importo al di sotto delle quali la decisione è semi-automatica con possibilità di revisione, prevede meccanismi di tutela contro errori manifesti del sistema di scoring e mantiene un canale di assistenza umana per l'esame delle richieste contestate.
Conseguenze: approvazione o rifiuto della richiesta di pagamento rateale; un eventuale rifiuto da parte di Scalapay non preclude all'utente la possibilità di completare l'acquisto utilizzando un metodo di pagamento alternativo (carta di credito, PayPal, bonifico, ecc.) tra quelli disponibili sul sito.
Diritti dell'interessato relativi alla decisione automatizzata: l'utente ha diritto a (a) ottenere l'intervento umano da parte di Scalapay nella valutazione della propria richiesta; (b) esprimere la propria opinione; (c) contestare la decisione. Tali diritti possono essere esercitati direttamente contattando Scalapay ([email protected]) oppure rivolgendosi al Titolare ai recapiti indicati nella Sezione 1.
Diritto di recesso dal contratto di credito al consumo: il pagamento rateale Scalapay configura un contratto di credito al consumo ai sensi del D.Lgs. 141/2010 (TUB, art. 121 ss.) e della Direttiva 2008/48/CE. L'utente ha diritto di recedere dal contratto di credito entro 14 giorni dalla sua conclusione, senza dover indicare motivazione, ai sensi dell'art. 67-duodecies del Codice del Consumo. Il recesso dal contratto di credito Scalapay è separato e indipendente dal diritto di recesso dall'acquisto del prodotto presso Mazzola Luce. Per esercitare tale diritto, l'utente deve rivolgersi direttamente a Scalapay secondo le modalità indicate nelle condizioni contrattuali del servizio rateale.
Informazioni sulle decisioni automatizzate (art. 13, par. 2, lett. f, e art. 22 GDPR) – Servizio Klarna
Quando l'utente sceglie di pagare con Klarna, la richiesta di pagamento dilazionato è valutata direttamente da Klarna Bank AB (publ), in qualità di titolare autonomo del trattamento, anche mediante decisioni basate esclusivamente su un trattamento automatizzato, compresa la profilazione, che possono comportare l'accettazione o il rifiuto della richiesta. Tale trattamento è necessario alla conclusione del contratto di pagamento richiesto dall'interessato (art. 22, par. 2, lett. a del GDPR). Mazzola Luce non interviene nella valutazione e ne riceve soltanto l'esito (pagamento autorizzato o rifiutato).
Logica utilizzata e diritti dell'interessato: la logica utilizzata, i dati valutati e le modalità per ottenere l'intervento umano, esprimere la propria opinione e contestare la decisione sono descritti nell'informativa sulla privacy di Klarna; i relativi diritti si esercitano direttamente nei confronti di Klarna.
Conseguenze: un eventuale rifiuto da parte di Klarna non preclude all'utente la possibilità di completare l'acquisto utilizzando un metodo di pagamento alternativo tra quelli disponibili sul sito.
3. Tempi di conservazione dei dati
I dati personali sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti (art. 5, par. 1, lett. e, GDPR).
| Categoria di dati | Periodo di conservazione |
|---|---|
| Log di sistema (IP, dati di navigazione) | Tendenzialmente 90 giorni, secondo le policy di rotazione del provider di hosting. Allo stato attuale il Titolare non gestisce direttamente un job di purge automatizzato dei log: la conservazione effettiva è determinata dalle impostazioni del provider e può in casi specifici risultare superiore per esigenze di sicurezza documentate |
| Conversazioni con l'assistente virtuale (LUC.IA) | 90 giorni dalla data dell'ultimo messaggio della conversazione. Allo scadere del termine la conversazione e i relativi messaggi sono eliminati mediante procedura automatica di cancellazione periodica. Dettagli nella Sezione 10.2 |
| Dati contrattuali (ordini, fatture) | 10 anni dalla chiusura del rapporto contrattuale (art. 2220 c.c. e normativa fiscale) |
| Dati per garanzia legale | 26 mesi dalla consegna del bene |
| Modulo di contatto / richieste precontrattuali | I dati inseriti nel modulo di contatto vengono salvati nei sistemi del Titolare e conservati per un massimo di 12 mesi dall'ultima interazione, decorsi i quali sono cancellati o resi anonimi su richiesta dell'interessato |
| Account utente registrati – sessioni inattive | Il sistema registra la data dell'ultima attività dell'account (campo LastActivityDateUtc). Allo stato attuale non è attivo un job automatizzato di cancellazione degli account inattivi: la cancellazione di account inattivi avviene su richiesta dell'interessato ai sensi dell'art. 17 GDPR, oppure su iniziativa del Titolare in occasione di revisioni periodiche del database. Il Titolare si impegna a implementare nel tempo procedure di cancellazione automatica per gli account inattivi da oltre 24 mesi |
| Newsletter (su consenso ex art. 6.1.a GDPR) | Fino a revoca del consenso o cancellazione dell'iscrizione tramite il link di disiscrizione presente in ogni e-mail |
| Dati antifrode e prevenzione rischio creditizio | I dati antifrode sono trattati e conservati direttamente dai provider di pagamento (Stripe, PayPal, Scalapay, Klarna) in qualità di titolari autonomi. La conservazione segue le policy dei singoli provider e gli obblighi di legge applicabili (D.Lgs. 231/2007 antiriciclaggio, D.Lgs. 11/2010 sui pagamenti). Il Titolare non conserva una propria copia dei dati antifrode |
| Programma fedeltà (raccolta punti) | Per la durata dell'adesione al programma; punti soggetti a regole di scadenza secondo il regolamento del programma (cfr. Sezione 22) |
| Cookie analitici e di marketing | Durata massima del cookie: 12 mesi dall'installazione. Il consenso viene richiesto nuovamente alla scadenza del cookie di consenso, cioè dopo 12 mesi dalla scelta (cfr. Sezione 27), nel rispetto dell'intervallo minimo di 6 mesi indicato dalle Linee Guida del Garante del 10/06/2021 |
| Registro dei consensi ai cookie (Cookiebot) | 12 mesi dalla registrazione della scelta, presso il fornitore della piattaforma di gestione del consenso; alla scadenza i dati sono cancellati automaticamente dal fornitore (cfr. Sezione 16.1) |
| Dati per acquisto come ospite | 10 anni per obblighi fiscali; cancellati o resi anonimi al termine |
| Statistiche interne della ricerca (cfr. Sezione 5.6) | 12 mesi dalla ricerca; alla scadenza i dati sono cancellati automaticamente da una procedura notturna del sistema |
Trasparenza sui processi di cancellazione automatica: per alcune categorie di dati — specificamente i log di sistema e gli account utente inattivi, come indicato nelle rispettive righe della tabella — i termini di conservazione indicati corrispondono a obiettivi di gestione e non sono attualmente presidiati da procedure automatizzate di cancellazione. Per tali categorie la cancellazione avviene su iniziativa del Titolare in occasione di revisioni periodiche del database o, in qualsiasi momento, su richiesta dell'interessato ai sensi dell'art. 17 GDPR. Il Titolare si impegna ad implementare progressivamente procedure di cancellazione automatica anche per queste categorie. Le restanti categorie indicate in tabella, incluse le conversazioni con l'assistente virtuale, sono presidiate da procedure di cancellazione automatica.
La revoca del consenso non comporta la cancellazione automatica dei dati già raccolti, che saranno conservati per il tempo residuo previsto, salvo richiesta espressa di cancellazione ai sensi dell'art. 17 GDPR.
4. Trasferimento dei dati a terzi e partner
4.1 Gestione dei pagamenti
Per la gestione dei pagamenti ci affidiamo ai seguenti fornitori:
- PayPal (Europe) S.à r.l. et Cie, S.C.A. – Luxembourg
- Stripe Payments Europe, Ltd. – Dublino 2, Irlanda
- Unicredit Pagonline – UniCredit S.p.A., Milano
- Scalapay – Scalapay S.r.l., Milano
- Klarna – Klarna Bank AB (publ), Stoccolma, Svezia (pagamento dilazionato, disponibile al checkout tramite Stripe)
- Apple Pay e Google Pay – integrati come wallet di pagamento tramite i circuiti Stripe e PayPal sopra indicati
Klarna: se l'utente sceglie di pagare con Klarna, i dati necessari a elaborare la richiesta (di norma: dati identificativi e di contatto, indirizzi di fatturazione e di consegna, importo e dettagli dell'ordine) sono comunicati, tramite Stripe, a Klarna Bank AB (publ), che li tratta in qualità di titolare autonomo per la verifica dell'identità, la valutazione della richiesta, la prevenzione delle frodi e la gestione del pagamento, secondo la propria informativa sulla privacy (cfr. anche Sezione 2.7).
Base giuridica: art. 6, par. 1, lett. b del GDPR.
4.2 Comunicazioni commerciali e marketing diretto
Tutte le comunicazioni promozionali del Titolare sono basate sul consenso esplicito dell'utente. Il Titolare non si avvale della facoltà prevista dall'art. 130, comma 4, del Codice Privacy (cd. soft spam) e non utilizza l'indirizzo e-mail dei clienti per inviare comunicazioni promozionali in assenza di un consenso preventivo specifico.
Le comunicazioni promozionali del Titolare avvengono esclusivamente nell'ambito del servizio di newsletter, al quale l'utente può iscriversi volontariamente:
- in fase di registrazione del proprio account, spuntando l'apposita casella di consenso al marketing;
- in qualsiasi momento successivo tramite il modulo di iscrizione newsletter dedicato presente sul sito.
Per le modalità di funzionamento della newsletter (procedura double opt-in, dati raccolti, finalità, revoca del consenso) si rinvia alla Sezione 4.3.
Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR. L'utente può revocare il consenso in qualsiasi momento cliccando sul link di disiscrizione presente in ogni e-mail promozionale, oppure scrivendo a [email protected].
4.3 Newsletter
Raccogliamo: indirizzo e-mail (obbligatorio) e, facoltativamente, nome, cognome, data di nascita; per clienti commerciali anche la denominazione dell'azienda.
Finalità del conferimento facoltativo della data di nascita: ai sensi del principio di minimizzazione (art. 5, par. 1, lett. c, GDPR), la data di nascita è raccolta esclusivamente per consentire l'invio di comunicazioni personalizzate in occasione del compleanno dell'utente (es. coupon sconto compleanno) e non è utilizzata per altre finalità di profilazione. Il mancato conferimento di tale dato non pregiudica l'iscrizione alla newsletter né la ricezione delle altre comunicazioni promozionali.
Procedura di iscrizione (double opt-in): per garantire che l'iscrizione alla newsletter sia stata effettivamente richiesta dal titolare dell'indirizzo e-mail, utilizziamo la procedura di double opt-in (DOI). Dopo aver inserito il proprio indirizzo e-mail nell'apposito modulo, l'utente riceverà un'e-mail di conferma contenente un link di attivazione. L'iscrizione alla newsletter si perfeziona esclusivamente al momento del clic sul link di conferma.
Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.
Revoca del consenso: in qualsiasi momento cliccando sul link di cancellazione in fondo ad ogni newsletter, oppure scrivendo a [email protected]. La revoca non comporta alcun costo.
5. Presenza online e ottimizzazione del sito web
5.1 Cookie – Informazioni generali
Utilizziamo cookie per migliorare l'usabilità del sito. Le informazioni raccolte sono pseudonimizzate e non conservate insieme ad altri dati personali. Potete personalizzare il consenso tramite il banner visualizzato al primo accesso.
- Cookie strettamente necessari: art. 6, par. 1, lett. f del GDPR – esenzione dal consenso ex art. 122, comma 1, Codice Privacy
- Cookie analitici e di marketing: art. 6, par. 1, lett. a del GDPR (consenso)
5.2 Google Analytics
Utilizziamo Google Analytics 4 di Google Ireland Limited (Gordon House, Barrow St, Dublino 4, Irlanda). Google dichiara, in qualità di fornitore del servizio, di non registrare l'indirizzo IP completo dell'utente nei propri sistemi di analisi (in GA4 l'IP non viene memorizzato in modo persistente, ma utilizzato esclusivamente per la derivazione di informazioni geografiche aggregate e per la prevenzione abusi). Google aderisce al EU-US Data Privacy Framework (DPF). Per maggiori informazioni: Trattamento degli indirizzi IP in GA4.
Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.
Opt-out: È possibile disattivare Google Analytics revocando il consenso tramite il banner cookie del nostro sito, oppure installando il componente aggiuntivo per il browser fornito da Google.
5.3 Remarketing di Google Ads
Utilizziamo Google Ads Remarketing e "Similar Audiences" di Google Ireland Limited per annunci personalizzati sulla Rete Display. Il processo usa cookie che identificano il browser, non la persona.
Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.
Opt-out: revoca del consenso tramite il banner cookie del nostro sito (modalità primaria di esercizio del diritto). In via informativa aggiuntiva, è possibile disattivare la personalizzazione degli annunci tramite le impostazioni annunci Google.
5.4 Monitoraggio delle conversioni di Google Ads
Un cookie (scadenza 30 giorni) viene installato al clic su un annuncio per compilare statistiche aggregate anonime.
Base giuridica: consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR.
Opt-out: revoca del consenso tramite il banner cookie del nostro sito.
5.5 Programma di affiliazione Amazon
Mazzola Luce S.r.l. partecipa, in qualità di affiliato, al programma di affiliazione Amazon, gestito per gli utenti dello Spazio Economico Europeo da Amazon EU S.à r.l. (5 Rue Plaetis, L-2338 Luxembourg). Il programma consente al sito di inserire link che reindirizzano alle pagine prodotto su Amazon e di percepire una commissione in caso di acquisto da parte dell'utente.
Funzionamento tecnico: i link e i widget di affiliazione presenti sul sito non installano cookie di per sé. Soltanto al momento del clic dell'utente sul link di affiliazione, l'utente viene reindirizzato sul sito Amazon, dove vengono installati cookie di tracciamento conversione gestiti direttamente da Amazon in qualità di titolare autonomo. Tali cookie sono soggetti alla privacy policy di Amazon: Informativa privacy Amazon.
Dati raccolti dal Titolare: il Titolare riceve da Amazon esclusivamente report aggregati anonimi sulle commissioni maturate, senza accesso ai dati personali identificativi degli utenti che hanno cliccato sui link di affiliazione.
I dati possono essere trasferiti negli Stati Uniti. Amazon aderisce al EU-US Data Privacy Framework.
Base giuridica: per l'inserimento dei link di affiliazione, legittimo interesse del Titolare ai sensi dell'art. 6, par. 1, lett. f del GDPR; per i cookie installati su Amazon dopo il clic, consenso prestato direttamente dall'utente sul sito Amazon ai sensi della relativa cookie policy.
Opt-out: l'utente può semplicemente non cliccare sui link di affiliazione; in alternativa può gestire i cookie del proprio browser e le impostazioni di Amazon.
5.6 Statistiche raccolte in modo diretto
Questo Sito Web utilizza un sistema di statistiche interno che non coinvolge terze parti. Serve a capire cosa cercano gli utenti con la ricerca interna del sito, se trovano quello che cercano e quali ricerche portano a un acquisto, per migliorare i risultati della ricerca e il catalogo.
Dati raccolti: il testo cercato, il numero di risultati, data e ora, l'identificativo del visitatore o del cliente usato dal negozio, l'indirizzo IP in forma pseudonimizzata (hash), il tipo di browser e la pagina di provenienza; i prodotti aperti dai risultati e la loro posizione, quelli aggiunti al carrello e, per gli ordini, le righe acquistate dopo la ricerca con il relativo importo.
Cookie utilizzati (di prima parte, installati da www.mazzolaluce.com e non leggibili da script di terze parti):
- ml_last_search_id: collega le azioni successive (apertura di un prodotto, aggiunta al carrello) all'ultima ricerca effettuata. Durata: 45 minuti.
- ml_search_cart: ricorda da quale ricerca proviene ciascun prodotto nel carrello, per attribuire l'ordine alla ricerca. Contiene solo numeri identificativi di prodotti e ricerche. Durata: 30 giorni.
Finalità e base giuridica: statistiche aggregate sull'uso della ricerca interna, per il legittimo interesse del Titolare a migliorare il funzionamento del sito (art. 6, par. 1, lett. f del GDPR). I dati sono consultati solo in forma aggregata, per parola cercata e per periodo; non sono comunicati a terzi né usati per profilare il singolo utente o per finalità di marketing. Trattandosi di cookie di prima parte usati esclusivamente per statistiche aggregate relative a questo sito, rientrano tra quelli esenti dal consenso ai sensi dell'art. 122 del Codice Privacy e delle Linee guida del Garante del 10 giugno 2021.
Conservazione: 12 mesi, poi cancellazione automatica (cfr. Sezione 3).
5.7 Google Ads Enhanced Conversions (Conversioni avanzate)
Il sito utilizza la funzionalità Enhanced Conversions di Google Ads, fornita da Google Ireland Limited (Gordon House, Barrow Street, Dublino 4, Irlanda), per migliorare la misurazione delle conversioni pubblicitarie e supportare l'efficacia delle campagne anche in scenari con limitata disponibilità di cookie di terze parti.
Funzionamento tecnico: al momento del completamento di una conversione (ad esempio l'acquisto al checkout o l'iscrizione alla newsletter), il sito raccoglie alcuni dati personali di prima parte forniti dall'utente nel modulo (indirizzo e-mail e, ove disponibili, nome, cognome, numero di telefono, indirizzo postale) e li trasmette ai server di Google Ads in forma sottoposta a hashing crittografico unidirezionale (SHA-256). L'hashing avviene lato client all'interno del browser dell'utente, prima della trasmissione: nessun dato personale in chiaro viene inviato a Google in questa fase.
Finalità del trattamento: Google utilizza i dati hashati ricevuti per metterli a confronto, mediante un meccanismo di "hash matching", con i dati hashati degli utenti loggati ai propri servizi (Google Account). In caso di corrispondenza, la conversione viene attribuita all'annuncio pubblicitario di provenienza, consentendo al Titolare di misurare con maggiore accuratezza il ritorno sull'investimento delle campagne. I dati hashati che non producono corrispondenza vengono cancellati da Google.
Natura dei dati hashati ai sensi del GDPR: ai sensi delle interpretazioni dell'EDPB e del Garante, i dati sottoposti a hashing crittografico restano qualificabili come dati personali pseudonimizzati (e non come dati anonimi), in quanto Google è in grado di re-identificare gli utenti incrociando l'hash con i propri sistemi. Si applicano pertanto integralmente le tutele del GDPR.
Dati trattati: indirizzo e-mail (sempre, ove disponibile); nome e cognome, numero di telefono, indirizzo postale (solo ove forniti dall'utente nel modulo di conversione e ove configurati nel tag); tutti trasmessi esclusivamente in forma hashata SHA-256.
Attivazione condizionata al consenso: Enhanced Conversions viene attivata esclusivamente dopo che l'utente ha espresso il proprio consenso ai cookie di marketing tramite il banner cookie. In assenza di tale consenso, lo script di Enhanced Conversions non viene caricato e nessun dato (neanche in forma hashata) viene trasmesso a Google. La funzionalità è integrata con Google Consent Mode v2 (cfr. Sezione 7): in modalità "denied" non avviene alcun matching delle conversioni avanzate.
Base giuridica: consenso espresso dell'interessato ai sensi dell'art. 6, par. 1, lett. a del GDPR e dell'art. 122 del Codice Privacy. Il consenso ai cookie di marketing copre l'attivazione di Enhanced Conversions in quanto strumento di misurazione delle campagne pubblicitarie.
Rapporto di contitolarità (art. 26 GDPR): in relazione al matching dei dati hashati e all'attribuzione delle conversioni, Mazzola Luce S.r.l. e Google Ireland Limited operano in regime di contitolarità del trattamento. Mazzola Luce è responsabile della raccolta del consenso, del corretto hashing lato client e della trasmissione dei soli dati strettamente necessari; Google Ireland Limited è responsabile del matching, dell'attribuzione delle conversioni e della successiva cancellazione dei dati non corrispondenti. Il contenuto essenziale dell'accordo è disponibile in Sezione 15.1.
Conservazione: Google conserva i dati hashati in conformità con la propria informativa privacy (in genere 540 giorni dall'evento di conversione, salvo periodi differenti dichiarati da Google nei propri termini). I dati che non producono corrispondenza con utenti Google vengono cancellati immediatamente. Mazzola Luce non conserva una copia dei dati hashati trasmessi a Google.
Trasferimenti USA: i dati possono essere trasferiti negli Stati Uniti. Google aderisce al EU-US Data Privacy Framework, integrato da Clausole Contrattuali Standard come garanzia di fallback (cfr. Sezione 18).
Diritti dell'interessato: oltre ai diritti generali ex artt. 15-22 GDPR (cfr. Sezione 19), l'utente può in qualsiasi momento:
- revocare il consenso ai cookie di marketing tramite il banner cookie del sito, con conseguente disattivazione immediata di Enhanced Conversions per le conversioni future;
- richiedere a Google la cancellazione dei propri dati hashati eventualmente associati al proprio Google Account tramite le impostazioni del proprio account Google.
Riferimenti documentali Google: Documentazione tecnica Enhanced Conversions – Termini relativi alle Conversioni Avanzate.
