Informativa resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del d.lgs. 196/2003, come modificato dal d.lgs. 101/2018, a chi visita il sito www.sorpresona.it e a chi usa la piattaforma.
Sorpresona.it è la piattaforma con cui un negozio crea una raccolta regalo online. I genitori di una classe o un gruppo di amici versano ciascuno un contributo, e alla chiusura della raccolta il negozio emette una gift card per il festeggiato. La piattaforma è gestita da Marzi Otello s.a.s., con sede in Piazza Filippo Carli, 19, 00191 Roma (RM), partita IVA 01649201009 (di seguito "il Gestore").
In una raccolta intervengono il Gestore, il negozio e le persone che versano il contributo. Per questo il titolare del trattamento cambia secondo il ruolo che hai.
Per i dati delle raccolte il Gestore agisce come responsabile del trattamento ai sensi dell'art. 28 del GDPR. Il Gestore tratta questi dati solo per far funzionare la raccolta, le ricevute e la gift card, secondo l'Accordo sul trattamento dei dati personali che il negozio accetta alla registrazione. Nella pagina di ogni raccolta il negozio mostra la propria informativa per i partecipanti, scritta su un testo modello preparato dal Gestore.
In questa informativa il Gestore descrive i trattamenti di cui è titolare. Per trasparenza descrive anche i trattamenti che svolge per conto dei negozi, in modo che il partecipante sappia dove vanno i suoi dati.
Il Gestore non ha nominato un responsabile della protezione dei dati (DPO).
La piattaforma raccoglie dati diversi per ogni persona coinvolta. Le sezioni che seguono elencano i dati per gruppo, nell'ordine in cui una persona li inserisce mentre usa il sito.
Ogni volta che apri una pagina, il server del sito registra nei propri file di log l'indirizzo IP, la data e l'ora, la pagina richiesta, l'esito della richiesta, il tipo di browser e la pagina di provenienza. Il Gestore usa i log per far funzionare il sito, individuare guasti e respingere attacchi. Il Gestore non incrocia i log con gli altri dati per identificarti.
Quando qualcuno sbaglia la password nell'area riservata, la piattaforma conserva l'indirizzo IP del tentativo per un giorno. In questo modo la piattaforma blocca chi prova molte password di seguito.
Mentre la pagina si carica, il tuo browser scarica anche file da server esterni, e quei fornitori ricevono il tuo indirizzo IP.
Se scrivi dalla pagina Contatti, il Gestore riceve nome, email, messaggio e, se lo indichi, il nome del tuo negozio. Il messaggio arriva nella casella email del Gestore e il database del sito non lo conserva. Il database conserva invece nome, email, negozio, indirizzo IP, data e versione dell'informativa che hai letto, come prova della presa visione.
Per registrarsi il negozio indica il nome dell'attività, un indirizzo email e una password, e può inserire un codice sconto. La piattaforma salva la password solo in forma cifrata non reversibile, quindi neppure il Gestore la può leggere. Alla registrazione la piattaforma conserva anche data, indirizzo IP e versione della Privacy Policy e dei Termini accettati.
Dopo la registrazione il negozio compila la propria Vetrina e le impostazioni dell'account.
I documenti d'identità e le coordinate bancarie del negozio li raccoglie Stripe sulle proprie pagine, quando il negozio collega l'account. Questi dati non passano dai server del Gestore.
Chi versa un contributo indica nome e cognome, email e numero di telefono. Per ogni persona per cui paga indica il nome da mostrare nel regalo e, se vuole, una dedica. Chi paga per tre famiglie, per esempio, inserisce tre nomi e fino a tre dediche.
La piattaforma registra anche l'importo, lo stato del pagamento, l'identificativo della sessione di pagamento Stripe, la data e l'indirizzo IP da cui hai accettato i Termini e letto l'informativa, con le rispettive versioni. I dati della carta li inserisci nella pagina di Stripe, e il Gestore non li riceve mai.
Se il negozio accetta i contanti, chi partecipa può prenotare la quota e pagarla al banco del negozio. In quel caso la piattaforma registra gli stessi dati, un codice di prenotazione al posto della sessione Stripe e, quando il negozio incassa, la data e il negozio che ha segnato la quota come pagata.
Il negozio può anche inserire una quota pagata al banco da chi non è passato dal sito. Il negozio inserisce il nome di chi paga, i nomi da mostrare nel regalo, le dediche e, se chi paga li fornisce, email e telefono. Per queste quote la piattaforma registra che l'autorizzazione l'ha raccolta il negozio, con data, versione dei documenti e indirizzo IP del negozio.
Il negozio crea la raccolta con il nome del festeggiato, l'età, la classe, la data della festa, un messaggio e un tema grafico. Il festeggiato è spesso un bambino. La piattaforma non permette di caricare foto del festeggiato.
Alla chiusura della raccolta la piattaforma genera una gift card con un codice unico e l'importo raccolto. Il negozio registra poi ogni utilizzo della gift card con l'importo speso e una nota libera.
Ogni raccolta ha una pagina pubblica raggiungibile con un link che contiene un codice casuale. Il negozio condivide il link con le famiglie, di solito in una chat di gruppo. Chi ha il link vede il nome del negozio, il tipo di evento, la data della festa, l'età e il nome del festeggiato con la sola iniziale del cognome. La stessa forma del nome vale per l'anteprima del link, la pagina degli auguri e i riepiloghi in PDF.
La pagina degli auguri, raggiungibile con lo stesso link, mostra le dediche e i nomi di chi ha partecipato. Chi ha pagato senza dedica compare con il nome e le iniziali.
Quando il link viene incollato in un'app di messaggistica, l'anteprima mostra il tipo di evento, il nome del festeggiato, la data della festa e il negozio. L'immagine dell'anteprima è sempre l'illustrazione del tema scelto.
Le pagine delle raccolte, i riepiloghi in PDF e l'area riservata hanno un'istruzione che chiede ai motori di ricerca di non indicizzarle. Le pagine restano fuori dai risultati di ricerca e sono visibili a chiunque riceva il link.
Il Gestore tratta i dati di cui è titolare solo per gli scopi elencati qui sotto. Per ogni scopo la voce indica la base giuridica prevista dall'art. 6 del GDPR.
Per i dati delle raccolte la base giuridica la stabilisce il negozio, che ne è titolare. Nel funzionamento ordinario la base è il rapporto tra il partecipante e il negozio per il contributo al regalo (art. 6.1.b).
Il Gestore non usa i dati per newsletter o messaggi promozionali, non crea profili, non prende decisioni automatizzate ai sensi dell'art. 22 del GDPR e non vende dati a nessuno.
Nei moduli del sito alcuni campi sono obbligatori. Se non li compili, non puoi completare l'operazione che hai iniziato.
Tutti gli altri campi sono facoltativi, per esempio la dedica, i profili social e il sito del negozio. Se li lasci vuoti, il servizio funziona lo stesso.
Sulla piattaforma passano due tipi di pagamento con carta, e in entrambi i casi i dati della carta li tratta solo Stripe. Le quote in contanti non passano da Stripe. Il denaro lo incassa il negozio al banco, e la piattaforma registra solo la prenotazione e lo stato che indica il negozio.
Il contributo a una raccolta va direttamente sull'account Stripe del negozio, e il Gestore non tocca mai i fondi. Per creare il pagamento la piattaforma comunica a Stripe la tua email, l'importo e una descrizione con il nome del festeggiato, la classe, la data della festa, il numero dei partecipanti e il codice della raccolta. Il negozio vede questi dati nella propria dashboard Stripe e li usa per riconoscere il pagamento e gestire i rimborsi.
L'abbonamento del negozio, invece, lo incassa il Gestore tramite il proprio account Stripe. In questo caso Stripe riceve l'email e il nome del negozio.
Per eseguire i contributi Stripe agisce come responsabile del trattamento per conto del negozio, che è cliente di Stripe con un proprio account. Per l'abbonamento agisce come responsabile per conto del Gestore. Stripe tratta i dati dei pagamenti anche per scopi propri, cioè prevenzione delle frodi, antiriciclaggio e verifica della clientela, gestione dei rischi finanziari, obblighi di legge e miglioramento dei propri servizi, e per questi scopi agisce come titolare autonomo, come indica il proprio accordo sul trattamento dei dati. L'informativa di Stripe è disponibile su stripe.com/it/privacy.
Il Gestore comunica i dati solo ai soggetti che servono a far funzionare il servizio, e ognuno riceve solo i dati che gli servono. I fornitori che trattano dati per conto del Gestore sono nominati responsabili del trattamento.
Oltre ai fornitori, i dati arrivano a queste persone.
Se il Gestore cede l'azienda o il ramo che gestisce la piattaforma, i dati passano all'acquirente, che resta vincolato a questa informativa.
Alcuni fornitori hanno sede o server fuori dallo Spazio economico europeo. Il Gestore li usa solo con le garanzie previste dagli articoli da 44 a 49 del GDPR.
L'elenco delle aziende statunitensi certificate è sul sito del Data Privacy Framework. Le decisioni di adeguatezza per il Regno Unito e la Nuova Zelanda sono pubblicate dalla Commissione europea.
Il Gestore conserva ogni dato per il tempo che serve allo scopo per cui l'ha raccolto. Allo scadere del termine il Gestore cancella il dato oppure lo rende anonimo.
I dati presso Stripe seguono i tempi di conservazione indicati nell'informativa di Stripe.
Il sito usa cookie tecnici, che servono al funzionamento e non richiedono il consenso.
Il banner di CookieYes blocca i cookie non necessari finché non dai il consenso. Puoi cambiare la scelta in ogni momento con il pulsante dei cookie in basso nella pagina. L'elenco completo, con durata e fornitore di ogni cookie, è nella Cookie Policy.
Il Gestore applica le misure di sicurezza previste dall'art. 32 del GDPR, adeguate al rischio dei dati trattati.
Nessuna misura elimina del tutto il rischio. Se una violazione dei dati mette a rischio i tuoi diritti, il Gestore la notifica al Garante e, quando la legge lo richiede, ti avvisa, come previsto dagli articoli 33 e 34 del GDPR. Per i dati delle raccolte il Gestore avvisa il negozio entro 48 ore, come previsto dall'Accordo sul trattamento dei dati.
Sorpresona.it non è pensata per l'uso da parte di minori. Possono registrare un negozio e versare un contributo solo persone maggiorenni, perché il negozio è un'attività commerciale e il partecipante versa un pagamento al negozio, con carta, portafoglio digitale o in contanti. Se il Gestore scopre che un minore ha usato la piattaforma, cancella i dati che il minore ha inserito, salvo quelli che la legge impone di conservare.
Il negozio inserisce i dati del festeggiato quando crea la raccolta, e la pagina della raccolta mostra solo i dati descritti nella sezione 3.
Un genitore può chiedere al negozio di correggere o togliere i dati del figlio. Se la richiesta arriva al Gestore, il Gestore la inoltra al negozio senza ritardo.
Il GDPR, agli articoli da 15 a 22, ti riconosce questi diritti sui tuoi dati.
Puoi anche presentare un reclamo al Garante per la protezione dei dati personali, sul sito garanteprivacy.it, oppure all'autorità di controllo del Paese europeo in cui vivi o lavori.
Per esercitare i diritti scrivi a info@sorpresona.it oppure per posta a Marzi Otello s.a.s., Piazza Filippo Carli, 19, 00191 Roma (RM). Il Gestore risponde entro un mese dalla richiesta. Per le richieste complesse il termine si può allungare di altri due mesi, e in quel caso il Gestore ti avvisa entro il primo mese.
Per i dati di una raccolta il riferimento è il negozio che l'ha creata, perché ne è titolare. Il negozio può consultare, esportare e correggere i dati dalla propria area riservata. Se scrivi al Gestore, il Gestore inoltra la richiesta al negozio senza ritardo e lo aiuta a risponderti.
Il negozio esercita i diritti sui dati del proprio account con le stesse modalità. Molti dati, come la Vetrina e i dati di fatturazione, il negozio li può correggere da solo nelle impostazioni.
Il Gestore aggiorna questa informativa quando cambiano la legge, i fornitori o le funzioni della piattaforma. Ogni versione porta un numero e una data, e la piattaforma registra quale versione ha letto ogni negozio e ogni partecipante. Il Gestore comunica via email ai negozi i cambiamenti sostanziali prima che entrino in vigore.
