1. Ambito di applicazione e titolare del trattamento
La presente informativa descrive le modalità di trattamento dei dati personali degli utenti che visitano il nostro sito, consultano i prodotti, effettuano acquisti o utilizzano i servizi disponibili. Si applica alle attività di navigazione, gestione degli ordini, elaborazione delle transazioni e comunicazione con gli utenti.
Il trattamento dei dati personali è disciplinato dal Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (GDPR) e dal Decreto Legislativo 30 giugno 2003, n. 196, come modificato dal Decreto Legislativo 10 agosto 2018, n. 101.
Poiché il sito offre prodotti a consumatori che si trovano nell'Unione europea, può trovare applicazione l'articolo 3, paragrafo 2, lettera a), GDPR, qualora ricorrano le condizioni previste per l'offerta di beni o servizi a persone interessate situate nell'Unione.
Il titolare del trattamento è la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che determina le finalità e i mezzi del trattamento, ai sensi dell'articolo 4, punto 7, GDPR. L'identità giuridica del soggetto che gestisce il sito deve essere resa conoscibile agli utenti insieme ai dati di contatto. Il nome commerciale del sito, da solo, non consente di identificare con certezza il titolare.
I recapiti disponibili per le comunicazioni sono:
-
Nome del sito: Moleniocasa
-
Indirizzo di contatto: Corpo Kotobuki 202, 3-8-24 Mukoyama, Nerima-ku, Tokyo 176-0022, Giappone
-
E-mail: alwayshere@moleniocasa.com
-
Telefono: +81 (802) 369 5187
-
Orario del servizio clienti: dal lunedì al venerdì, dalle 9:00 alle 18:00
-
Area di consegna: Italia
L'indirizzo in Giappone è indicato esclusivamente come recapito di contatto e non viene presentato come sede legale del titolare.
Qualora ricorrano le condizioni dell'articolo 27 GDPR, il titolare non stabilito nell'Unione europea deve designare un rappresentante nell'Unione, salvo le eccezioni previste dal paragrafo 2 dello stesso articolo. L'eventuale obbligo deve essere verificato in base alle attività effettive di trattamento.
L'eventuale nomina di un responsabile della protezione dei dati (DPO) deve essere valutata secondo i criteri dell'articolo 37 GDPR. Non si presume che tale figura sia stata nominata né che la nomina sia obbligatoria in assenza di una verifica delle condizioni previste.
2. Categorie e provenienza dei dati personali
In relazione alle attività effettivamente svolte, possono essere trattate le seguenti categorie di dati:
Dati identificativi e di contatto
Nome, cognome, indirizzo e-mail, numero di telefono e indirizzo di consegna, quando forniti dall'utente per effettuare un acquisto o richiedere assistenza.
Dati relativi agli ordini e alle transazioni
Numero dell'ordine, prodotti acquistati, importi, stato dell'ordine, informazioni sulla consegna e registrazioni necessarie alla gestione degli acquisti.
Dati relativi ai pagamenti
Stato del pagamento, conferme delle transazioni e riferimenti necessari alla verifica dell'operazione. Non si presume che vengano memorizzati direttamente i numeri completi delle carte di pagamento o i relativi codici di sicurezza.
Dati tecnici e di navigazione
Indirizzo IP, data e ora di accesso, tipo di browser, informazioni sul dispositivo e dati relativi all'interazione con le pagine, nella misura in cui tali informazioni siano effettivamente raccolte dai sistemi utilizzati.
Dati relativi alle comunicazioni
Contenuto delle e-mail, richieste di assistenza, informazioni fornite per la gestione di problemi relativi agli ordini e comunicazioni con il servizio clienti.
I dati possono essere ottenuti direttamente dagli utenti, generati durante l'utilizzo del sito oppure ricevuti da fornitori coinvolti nelle operazioni di acquisto, pagamento o consegna, quando tale comunicazione avviene effettivamente e dispone di una base giuridica.
3. Finalità del trattamento dei dati personali
I dati personali vengono trattati, quando necessari e in presenza di una base giuridica valida, per le seguenti finalità:
-
Gestione degli acquisti: ricevere e gestire gli ordini, confermare le richieste di acquisto e svolgere le attività necessarie all'esecuzione del contratto.
-
Gestione dei pagamenti: verificare lo stato delle transazioni e registrare le informazioni necessarie alla gestione degli acquisti.
-
Organizzazione delle consegne: utilizzare i dati di contatto e l'indirizzo di consegna per organizzare la spedizione e gestire lo stato degli ordini.
-
Assistenza agli utenti: rispondere alle richieste, gestire le comunicazioni e fornire informazioni necessarie alla gestione degli acquisti.
-
Funzionamento e sicurezza del sito: trattare le informazioni tecniche necessarie al funzionamento dei sistemi e alla prevenzione degli accessi non autorizzati.
-
Adempimenti legali: conservare e utilizzare i dati necessari per adempiere agli obblighi contabili, fiscali e documentali previsti dalla legge.
-
Analisi e miglioramento: svolgere eventuali attività di analisi dei servizi, soltanto se effettivamente attivate e sulla base della relativa legittimazione giuridica.
-
Comunicazioni commerciali: inviare eventuali comunicazioni promozionali o personalizzate soltanto quando tali attività sono effettivamente svolte e sussiste una base giuridica valida, compreso il consenso quando richiesto.
I dati vengono utilizzati esclusivamente per finalità determinate e non vengono trattati ulteriormente in modo incompatibile con quelle originarie, nel rispetto dell'articolo 5, paragrafo 1, lettera b), GDPR.
4. Base giuridica del trattamento
Ai sensi dell'articolo 6, paragrafo 1, GDPR, ogni trattamento deve essere fondato su una specifica condizione di liceità.
Esecuzione di un contratto – articolo 6, paragrafo 1, lettera b)
Questa base giuridica riguarda i dati necessari per gestire gli ordini, completare gli acquisti, verificare le transazioni, organizzare le consegne e fornire i servizi richiesti dall'utente.
Adempimento di obblighi legali – articolo 6, paragrafo 1, lettera c)
Questa base giuridica riguarda i trattamenti necessari per rispettare gli obblighi previsti dalla normativa applicabile, compresi quelli contabili, fiscali e di conservazione documentale.
Consenso – articolo 6, paragrafo 1, lettera a)
Il consenso viene richiesto per le attività di trattamento che lo richiedono, come eventuali comunicazioni commerciali o strumenti di tracciamento non necessari. Deve essere libero, specifico, informato e inequivocabile.
L'utente può revocare il consenso in qualsiasi momento. Ai sensi dell'articolo 7, paragrafo 3, GDPR, la revoca non pregiudica la liceità del trattamento effettuato prima della revoca.
Legittimo interesse – articolo 6, paragrafo 1, lettera f)
Questa base giuridica può essere utilizzata per attività necessarie alla sicurezza del sito, alla prevenzione delle frodi e alla tutela dei diritti, previa valutazione del bilanciamento tra gli interessi perseguiti e i diritti e le libertà fondamentali degli interessati.
Quando il trattamento si basa sul legittimo interesse, l'utente può esercitare il diritto di opposizione previsto dall'articolo 21 GDPR.
5. Comunicazione e condivisione dei dati personali
I dati personali possono essere comunicati a soggetti terzi quando ciò è necessario per le finalità indicate e sussiste una valida base giuridica.
Le categorie di destinatari possono comprendere, se effettivamente coinvolte:
-
Fornitori di servizi di pagamento, per la gestione e la verifica delle transazioni.
-
Servizi di trasporto e consegna, per l'organizzazione delle spedizioni.
-
Fornitori di assistenza tecnica e manutenzione del sito.
-
Fornitori di servizi informatici e di archiviazione dei dati.
-
Autorità pubbliche e organismi competenti, quando la comunicazione è richiesta dalla legge o da un provvedimento legittimo.
Quando un soggetto tratta dati personali per conto del titolare, deve essere nominato responsabile del trattamento secondo l'articolo 28 GDPR e deve essere disciplinato il rapporto mediante un accordo scritto che definisca le attività e gli obblighi delle parti.
La qualifica dei destinatari dipende dal ruolo effettivamente svolto: non tutti i soggetti che ricevono dati sono automaticamente responsabili del trattamento.
Non vengono attribuiti rapporti di collaborazione o attività di condivisione a fornitori specifici senza averne verificato l'effettivo coinvolgimento.
6. Conservazione e sicurezza dei dati personali
Conservazione dei dati
I dati personali vengono conservati per il periodo necessario alle finalità per cui sono stati raccolti, tenendo conto degli obblighi di legge e dei criteri di necessità e minimizzazione previsti dall'articolo 5 GDPR.
In particolare:
-
I dati relativi agli ordini e alle transazioni vengono conservati per gestire gli acquisti e adempiere agli obblighi contabili e fiscali.
-
I dati relativi ai pagamenti vengono conservati per il tempo necessario alla gestione delle transazioni e agli eventuali obblighi di legge.
-
I dati relativi alle comunicazioni vengono conservati per gestire le richieste e tutelare i diritti delle parti.
-
I dati tecnici e di navigazione vengono conservati per il tempo necessario alle finalità tecniche e di sicurezza.
-
I dati trattati sulla base del consenso vengono conservati per il tempo necessario alla finalità dichiarata o fino alla revoca, fatti salvi eventuali obblighi di legge.
La durata effettiva dipende dalla categoria dei dati, dalla finalità del trattamento e dagli obblighi applicabili. Non viene stabilito un unico periodo di conservazione per tutti i dati.
Sicurezza dei dati
Ai sensi degli articoli 5, paragrafo 1, lettera f), e 32 GDPR, i dati personali devono essere trattati garantendo un livello di sicurezza adeguato ai rischi, nel rispetto dei principi di integrità e riservatezza.
Le misure tecniche e organizzative devono essere proporzionate alla natura dei dati e ai rischi del trattamento e possono comprendere:
-
Limitazione degli accessi alle persone autorizzate.
-
Protezione contro accessi non autorizzati.
-
Misure per ridurre il rischio di perdita o alterazione accidentale.
-
Procedure per la gestione e la protezione delle informazioni personali.
Non vengono dichiarate certificazioni o tecnologie di sicurezza specifiche senza averne verificato l'effettiva adozione.
Violazioni dei dati personali
In caso di violazione dei dati personali, il titolare valuta i rischi per i diritti e le libertà degli interessati.
Ai sensi dell'articolo 33 GDPR, quando la violazione presenta un rischio per i diritti e le libertà delle persone fisiche, il titolare la notifica all'autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo i casi in cui sia improbabile che la violazione presenti tale rischio.
Ai sensi dell'articolo 34 GDPR, quando la violazione può presentare un rischio elevato, gli interessati vengono informati senza ingiustificato ritardo, salvo le eccezioni previste dalla stessa disposizione.
7. Trasferimento dei dati personali verso paesi terzi
I trasferimenti di dati personali verso paesi situati al di fuori dello Spazio economico europeo sono disciplinati dagli articoli da 44 a 49 GDPR.
La presenza di un indirizzo di contatto in Giappone non dimostra, da sola, che i dati personali siano conservati o trasferiti in tale paese. Per stabilire se esiste un trasferimento internazionale occorre verificare l'effettiva ubicazione dei sistemi, i destinatari dei dati e i fornitori coinvolti nel trattamento.
Quando viene accertato un trasferimento verso un paese terzo, deve essere individuato il meccanismo previsto dal GDPR:
-
Decisione di adeguatezza – articolo 45: il trasferimento può avvenire verso paesi riconosciuti dalla Commissione europea come dotati di un livello adeguato di protezione, entro i limiti della decisione.
-
Garanzie adeguate – articolo 46: in assenza di una decisione di adeguatezza applicabile, possono essere utilizzate le garanzie previste dal regolamento, comprese le clausole contrattuali tipo adottate dalla Commissione europea, quando ne ricorrono le condizioni.
-
Deroghe specifiche – articolo 49: possono essere utilizzate esclusivamente nelle circostanze e nei limiti stabiliti dal regolamento.
Per il Giappone, la Commissione europea ha adottato la Decisione di esecuzione (UE) 2019/419 del 23 gennaio 2019 sul livello adeguato di protezione dei dati personali. L'applicabilità della decisione deve essere verificata rispetto al destinatario effettivo e al suo ambito di applicazione.
Non viene dichiarato che i dati siano conservati o trasferiti in Giappone o in altri paesi terzi senza una verifica dei flussi effettivi.
8. Diritti degli interessati
Ai sensi degli articoli da 15 a 22 GDPR, gli utenti possono esercitare i diritti riconosciuti dal regolamento, alle condizioni previste per ciascuno di essi.
Diritto di accesso – articolo 15
L'utente può ottenere conferma dell'esistenza di un trattamento di dati personali che lo riguarda e accedere ai dati e alle informazioni previste dal regolamento.
Diritto di rettifica – articolo 16
L'utente può chiedere la correzione dei dati inesatti e l'integrazione di quelli incompleti.
Diritto alla cancellazione – articolo 17
L'utente può richiedere la cancellazione dei dati quando ricorrono le condizioni previste dal GDPR. Il diritto non è assoluto e può essere limitato, ad esempio, quando la conservazione è necessaria per adempiere a un obbligo legale o per accertare, esercitare o difendere un diritto in sede giudiziaria.
Diritto di limitazione – articolo 18
L'utente può richiedere la limitazione del trattamento nei casi previsti dal regolamento, ad esempio quando contesta l'esattezza dei dati o si oppone al trattamento nelle condizioni stabilite dalla legge.
Diritto alla portabilità – articolo 20
Quando il trattamento si basa sul consenso o su un contratto ed è effettuato con mezzi automatizzati, l'utente può ricevere i dati personali forniti in un formato strutturato, di uso comune e leggibile da dispositivo automatico e, quando ricorrono le condizioni previste, trasmetterli a un altro titolare.
Diritto di opposizione – articolo 21
L'utente può opporsi al trattamento basato sul legittimo interesse per motivi connessi alla propria situazione particolare. Può inoltre opporsi in qualsiasi momento al trattamento dei dati per finalità di marketing diretto, compresa la profilazione connessa a tale attività.
Diritto relativo alle decisioni automatizzate – articolo 22
Nei casi previsti dal GDPR, l'utente ha diritto a non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogo significativamente sulla sua persona.
Diritto di revocare il consenso – articolo 7, paragrafo 3
Quando il trattamento si basa sul consenso, l'utente può revocarlo in qualsiasi momento. La revoca non pregiudica la liceità del trattamento effettuato prima della sua comunicazione.
Diritto di proporre reclamo – articolo 77
L'utente può presentare un reclamo al Garante per la protezione dei dati personali o all'autorità di controllo competente, qualora ritenga che il trattamento dei propri dati violi il GDPR.
Le richieste relative all'esercizio dei diritti possono essere inviate a:
E-mail: alwayshere@moleniocasa.com
Ai sensi dell'articolo 12, paragrafo 3, GDPR, il titolare fornisce informazioni sulle misure adottate in risposta alla richiesta senza ingiustificato ritardo e, in ogni caso, entro un mese dal ricevimento. Tale termine può essere prorogato di ulteriori due mesi, se necessario in considerazione della complessità e del numero delle richieste. In caso di proroga, l'utente viene informato entro un mese dal ricevimento della richiesta, insieme ai motivi del ritardo.
Le richieste sono normalmente gestite senza costi. Nei casi di richieste manifestamente infondate o eccessive, anche per il loro carattere ripetitivo, si applica l'articolo 12, paragrafo 5, GDPR.
9. Obbligo di fornire i dati personali
Il conferimento dei dati personali può essere necessario oppure facoltativo, in funzione della finalità del trattamento.
Dati necessari per gli acquisti
Alcuni dati identificativi, di contatto e di consegna sono necessari per ricevere e gestire un ordine, completare l'acquisto e organizzare la consegna dei prodotti.
Il mancato conferimento dei dati indispensabili può impedire la conclusione del contratto o l'erogazione del servizio richiesto.
Dati facoltativi
Le informazioni non necessarie per completare l'acquisto o fornire il servizio possono essere comunicate volontariamente. Il mancato conferimento di tali informazioni non deve impedire l'acquisto quando non sono necessarie per l'esecuzione del contratto.
Dati trattati sulla base del consenso
Quando il trattamento richiede il consenso, l'utente è libero di prestarlo o rifiutarlo. Il rifiuto non deve impedire l'accesso ai servizi che non richiedono il trattamento in questione.
Quando i dati personali non sono raccolti direttamente dall'interessato, vengono fornite le informazioni previste dall'articolo 14 GDPR, comprese le categorie di dati e la relativa provenienza, nei termini e nei limiti stabiliti da tale disposizione.
10. Decisioni automatizzate e aggiornamenti dell'informativa
Decisioni automatizzate
L'articolo 22 GDPR disciplina le decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione, quando producono effetti giuridici o incidono in modo analogo significativamente sull'interessato.
Qualora tali attività siano effettivamente svolte e rientrino nell'ambito dell'articolo 22, devono essere fornite informazioni significative sulla logica utilizzata, sull'importanza e sulle conseguenze previste del trattamento, nonché sulle garanzie riconosciute all'interessato.
Non vengono attribuite al sito attività di profilazione o decisioni automatizzate che non siano state effettivamente accertate.
Aggiornamenti dell'informativa
La presente informativa può essere aggiornata in caso di modifiche delle disposizioni applicabili o delle attività effettive di trattamento dei dati personali.
La versione aggiornata viene pubblicata sul sito. Gli aggiornamenti non possono essere utilizzati per limitare o modificare i diritti riconosciuti agli utenti dal GDPR.