Trasparenza

Informativa Privacy

Ultimo aggiornamento:

Ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (di seguito, “GDPR”), V&C Distribution — Ditta individuale — regime forfettario di Furlan Elisa, operante con il marchio "Velvet & Co." (P. IVA 05789190286), in qualità di Titolare del trattamento, ti fornisce le seguenti informazioni sui dati personali raccolti tramite il sito velvetandco.it.

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è V&C Distribution — Ditta individuale — regime forfettario di Furlan Elisa, operante con il marchio "Velvet & Co.", P. IVA 05789190286, con sede fiscale in Italia. Per qualsiasi richiesta relativa al trattamento dei tuoi dati puoi scrivere a privacy@velvetandco.it.

2. Tipologie di dati personali raccolti

Trattiamo le seguenti categorie di dati, a seconda dell'interazione che hai con il sito:

  • Dati di registrazione e account: nome, cognome, email, password (cifrata), eventuale numero di telefono.
  • Dati di acquisto: indirizzo di fatturazione e spedizione, codice fiscale e/o partita IVA, codice destinatario SDI o PEC (solo se richiedi fattura elettronica), storico ordini.
  • Dati di pagamento: il sito non memorizza i dati della tua carta di credito; questi sono raccolti e trattati direttamente dai gateway di pagamento (PayPal, Satispay). Riceviamo solo conferma dell'esito della transazione e identificativi tecnici (transaction ID).
  • Dati di marketing (newsletter): email, sorgente di iscrizione, data di consenso.
  • Dati di messaggistica WhatsApp (solo se presti il consenso al checkout): numero di telefono, contenuto dei messaggi scambiati, stato di iscrizione/disiscrizione.
  • Dati gift card: email del destinatario, codice e saldo della carta regalo (nessun dato di pagamento).
  • Dati di navigazione: indirizzo IP (anonimizzato), browser, sistema operativo, pagine visitate, durata della sessione. Vedi anche la Cookie Policy.
  • Comunicazioni: contenuto delle email, dei form di contatto e delle richieste di assistenza (incluse eventuali foto allegate a richieste di reso).
  • Dati relativi all'età: conferma di età minima 18 anni (memorizzata come cookie firmato HMAC server-side, senza dati anagrafici).
  • Dati di sicurezza account (solo per utenti con accesso al pannello amministrativo): indirizzo IP, user-agent, fingerprint device (hash SHA-256 di subnet + UA), country code derivato dall'IP, esito tentativo di login, timestamp; eventuali secret TOTP (cifrati) e credenziali WebAuthn/passkey se l'utente ha attivato l'autenticazione a due fattori. Vedi sezione 14.

3. Finalità del trattamento

I tuoi dati sono trattati per le seguenti finalità:

  1. Esecuzione del contratto di acquisto e gestione dell'ordine: presa in carico, pagamento, spedizione, fatturazione, assistenza post-vendita, gestione resi e rimborsi.
  2. Adempimento di obblighi di legge: emissione fattura elettronica verso SDI, conservazione documenti fiscali per 10 anni come previsto dal Codice Civile art. 2220.
  3. Iscrizione alla newsletter e invio di comunicazioni commerciali, previo tuo consenso espresso (doppio opt-in).
  4. Notifiche e assistenza via WhatsApp: invio di aggiornamenti transazionali (stato ordine e spedizione) e risposta automatica alle domande frequenti, solo se hai prestato il consenso al checkout.
  5. Gift card: emissione, consegna via email e gestione del saldo e del riscatto delle carte regalo.
  6. Recupero carrelli abbandonati: se inserisci il tuo indirizzo email al checkout senza completare l'acquisto, potresti ricevere fino a 3 promemoria via email sul carrello lasciato in sospeso (legittimo interesse del Titolare, salvo opposizione). Ogni messaggio contiene un link di disiscrizione immediata.
  7. Comunicazioni post-acquisto a clienti (art. 130, comma 4, Codice Privacy — c.d. soft opt-in): se hai effettuato un acquisto, potresti ricevere email relative a prodotti o servizi analoghi a quelli acquistati — consigli post-acquisto, invito a lasciare una recensione, eventuali sconti riservati — anche senza iscrizione alla newsletter. Puoi opporti in qualsiasi momento, gratuitamente, tramite il link “Disiscriviti” presente in ogni email.
  8. Analisi statistica aggregata e anonima del traffico del sito per migliorare l'esperienza utente (solo previo consenso ai cookie analitici).
  9. Marketing diretto tramite canali privati (email e WhatsApp), solo previo consenso esplicito. Non effettuiamo profilazione pubblicitaria né remarketing su piattaforme terze.
  10. Sicurezza del sito: prevenzione frodi, abusi, attacchi informatici (legittimo interesse).
  11. Verifica età: garantire l'accesso al sito solo a maggiorenni, in conformità alla natura dei prodotti commercializzati.

4. Base giuridica del trattamento

Le basi giuridiche del trattamento, ai sensi dell'art. 6 GDPR, sono:

  • Esecuzione del contratto (art. 6.1.b GDPR) per la gestione degli ordini e dell'account.
  • Obbligo legale (art. 6.1.c GDPR) per la fatturazione, la conservazione fiscale e gli obblighi tributari.
  • Consenso esplicito (art. 6.1.a GDPR) per la newsletter, per le notifiche WhatsApp (opt-in al checkout, revocabile con messaggio “STOP”) e per i cookie analitici e di marketing.
  • Legittimo interesse del Titolare (art. 6.1.f GDPR) per recupero carrelli abbandonati, prevenzione frodi e sicurezza del sito; in combinato con l'art. 130, comma 4, del Codice Privacy (D.Lgs. 196/2003) per le comunicazioni post-acquisto su prodotti o servizi analoghi a quelli già acquistati. Hai sempre diritto di opporti a questi trattamenti: tramite il link “Disiscriviti” presente in ogni email oppure contattandoci agli indirizzi sotto indicati.

5. Modalità del trattamento

Il trattamento dei dati avviene mediante strumenti informatici sicuri, con misure tecniche e organizzative adeguate a garantire la riservatezza, l'integrità e la disponibilità dei dati (art. 32 GDPR). In particolare:

  • Connessioni cifrate TLS 1.2+ (HTTPS) per ogni scambio tra browser e server.
  • Password account utenti memorizzate solo come hash bcrypt (mai in chiaro).
  • Dati sensibili (es. credenziali fornitori) memorizzati cifrati con algoritmo AES-256-GCM nei database.
  • Accesso ai dati limitato al personale autorizzato e necessario, sotto NDA.
  • Backup giornalieri cifrati e geograficamente distribuiti.
  • Log di accesso e audit trail conservati per finalità di sicurezza.

6. Destinatari dei dati e responsabili esterni

Per fornire i servizi del sito ci avvaliamo di fornitori specializzati che, nel trattare i tuoi dati per nostro conto, sono designati Responsabili esterni del trattamento ai sensi dell'art. 28 GDPR, sulla base di accordi (Data Processing Agreement) firmati. Di seguito l'elenco completo e aggiornato dei soggetti coinvolti:

Infrastruttura e hosting

  • Aruba S.p.A. (Italia) — hosting del sito WordPress, database MySQL, gestione email. Server localizzati in Italia (UE). DPA: aruba.it/informativa-privacy
  • Aruba Business S.p.A. (Italia) — VPS Cloud per backend applicativo (API, database PostgreSQL, coda lavori Redis) e backup cifrati Restic sullo stesso datacenter. Server localizzati in Italia (UE).

Pagamenti

  • PayPal (Europe) S.à r.l. et Cie, S.C.A. (Lussemburgo) — gateway di pagamento PayPal e Pay-in-4 (incluso pagamento con carta di credito tramite checkout PayPal). Trasferisci direttamente a PayPal i dati del tuo account o della tua carta; noi riceviamo solo conferma esito transazione e transaction ID. DPA: paypal.com/legalhub/privacy
  • Satispay S.p.A. (Milano, Italia) — gateway di pagamento tramite app Satispay. Trasferisci direttamente a Satispay i dati del tuo account; noi riceviamo solo conferma esito transazione e ID pagamento. Nessun trasferimento extra-UE. DPA: satispay.com/privacy-policy

Spedizioni e logistica

  • InPost Italia S.r.l. (Italia) — corriere per spedizione presso locker o consegna domicilio. Riceve nome, cognome, indirizzo di spedizione, telefono, email per gestire la consegna e notifiche tracking. DPA: inpost.it/privacy-policy

Email transazionali e marketing

  • Aruba S.p.A. (Italia) — server SMTP per l'invio di tutte le email del sito: transazionali (conferme ordine, spedizione, reset password, RMA) e marketing (newsletter, lifecycle). Server in Italia. Già indicato sopra come fornitore hosting; agisce come responsabile esterno anche per la trasmissione email tramite il servizio SMTP delle caselle no_reply@velvetandco.it e newsletter@velvetandco.it. DPA: aruba.it/informazioni-legali

Messaggistica (WhatsApp)

  • WhatsApp / Meta Platforms Ireland Ltd. (Irlanda) — infrastruttura di messaggistica usata per inviarti notifiche transazionali (stato ordine e spedizione) e risposte automatiche alle FAQ, solo se hai prestato il consenso al checkout. I messaggi e i relativi metadati transitano attraverso i sistemi di WhatsApp/Meta, che li tratta secondo la propria informativa. Puoi disattivare il canale in qualsiasi momento inviando “STOP”; continuerai a ricevere le comunicazioni necessarie via email. DPA: whatsapp.com/legal

Sicurezza e prevenzione frodi

  • ip-api.com (Linode LLC / Akamai Technologies) — servizio di geolocalizzazione IP utilizzato esclusivamente per arricchire i log di accesso al pannello amministrativo con il country code di provenienza (rilevamento accessi sospetti). Inviamo solo l'indirizzo IP del tentativo di login, nessun altro dato personale. Trasferimento verso Paesi terzi (USA) effettuato in conformità all'art. 46 GDPR mediante SCC. Informativa: ip-api.com/docs/legal

Analisi (solo previo consenso)

  • Google Ireland Ltd. (Irlanda) — Google Analytics 4 per analisi traffico aggregato. IP anonimizzato, Consent Mode v2 attivo: nessun dato è inviato senza il tuo consenso esplicito. DPA: business.safety.google/dataprocessingterms

Non utilizziamo pixel di marketing, profilazione o retargeting pubblicitario (es. Meta Pixel, Google Ads): la tua navigazione non alimenta annunci comportamentali su piattaforme terze. Le comunicazioni promozionali avvengono solo su canali diretti (email/WhatsApp) e verso chi ha prestato un consenso esplicito.

Adempimenti fiscali

  • Commercialista incaricato e Agenzia delle Entrate (SDI — Sistema di Interscambio) — per emissione e trasmissione di fatture elettroniche ai sensi del D.M. 55/2013, solo se richiedi fattura al checkout.

Su tua richiesta scritta a privacy@velvetandco.it ti forniremo l'elenco aggiornato e completo dei Responsabili esterni e copia degli accordi DPA stipulati.

7. Trasferimento dei dati extra-UE

I tuoi dati sono trattati prevalentemente all'interno dell'Unione Europea (in Italia, Francia, Germania, Irlanda, Lussemburgo). I gateway di pagamento utilizzati (PayPal, Satispay) operano da Paesi UE e l'infrastruttura di hosting e backup è interamente in Italia (Aruba). In casi limitati alcuni fornitori tecnici (Google per Google Analytics se hai prestato consenso, WhatsApp/Meta per le notifiche di messaggistica se hai prestato l'opt-in, ip-api.com per la geolocalizzazione IP degli accessi al pannello amministrativo) possono trattare dati verso Paesi terzi (USA). Tale trasferimento è effettuato in conformità all'art. 46 GDPR mediante:

  • Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea con Decisione di esecuzione (UE) 2021/914;
  • Misure supplementari tecniche e organizzative ove necessario (cifratura end-to-end, pseudonimizzazione);
  • Valutazioni d'impatto sui trasferimenti (TIA) per i fornitori extra-UE.

8. Periodo di conservazione

Conserviamo i tuoi dati personali per i seguenti periodi:

Tipo di dato Periodo Motivazione
Account utente attivo Fino a cancellazione Esecuzione contratto continuativo. Cancellazione automatica dopo 36 mesi di inattività.
Ordini e fatture 10 anni Obbligo legge (art. 2220 Codice Civile, art. 22 D.P.R. 633/1972).
Iscritti newsletter Fino a revoca consenso Consenso continuativo. Cancellazione immediata su richiesta o link "Disiscriviti".
Log accessi server (HTTP) 30 giorni Sicurezza informatica, debug, prevenzione abusi.
Log audit sicurezza account (login admin, eventi 2FA, fingerprint device) 36 mesi Tracciamento accessi al pannello amministrativo, rilevamento intrusioni, conformità best-practice ENISA.
Sessioni admin attive (refresh token) 90 giorni dall'ultimo uso Mantenimento sessione autenticata; revoca automatica su scadenza o logout.
Credenziali 2FA (TOTP secret, WebAuthn passkey) Fino a revoca dall'utente Autenticazione multi-fattore; cifrate AES-256-GCM, mai accessibili in chiaro.
Dati di marketing analitico (GA4) 14 mesi Impostazione minima Google Analytics 4, dato aggregato e pseudonimizzato.
Statistiche interne di navigazione (eventi anonimi, senza cookie) 90 giorni Statistiche aggregate first-party: eventi già anonimi alla raccolta (nessun cookie, IP mai memorizzato), cancellazione automatica; i report aggregati non contengono dati personali.
Comunicazioni assistenza 24 mesi Gestione successive richieste, statistiche qualità servizio.
Messaggi WhatsApp (log) 24 mesi Tracciabilità delle comunicazioni; stato opt-in/opt-out conservato fino a revoca.
Gift card (saldo e movimenti) Fino a scadenza (24 mesi) Gestione del saldo e del riscatto, più obblighi contabili collegati.
Carrelli abbandonati non recuperati 30 giorni Tentativi di recupero via email transazionale.

9. Diritti dell'interessato

In qualità di interessato hai diritto, in qualsiasi momento, di esercitare i seguenti diritti (artt. 15-22 GDPR):

  • Diritto di accesso (art. 15) — ottenere conferma del trattamento e copia dei dati.
  • Diritto di rettifica (art. 16) — chiedere la correzione di dati inesatti o incompleti.
  • Diritto di cancellazione — “diritto all'oblio” (art. 17) — chiedere la rimozione dei tuoi dati, fatti salvi gli obblighi di legge.
  • Diritto di limitazione del trattamento (art. 18).
  • Diritto alla portabilità dei dati (art. 20) — ricevere i tuoi dati in formato strutturato e di uso comune (JSON/CSV).
  • Diritto di opposizione al trattamento (art. 21), in particolare per marketing diretto e legittimo interesse.
  • Diritto di revoca del consenso in qualsiasi momento (art. 7.3), senza pregiudicare la liceità del trattamento precedente.
  • Diritto di proporre reclamo al Garante per la protezione dei dati personali (art. 77).

Per esercitare i tuoi diritti puoi:

Risponderemo entro 30 giorni dalla richiesta, prorogabili di altri 60 giorni in caso di complessità (art. 12.3 GDPR).

10. Dati di sicurezza account (utenti del pannello amministrativo)

Questa sezione riguarda esclusivamente gli utenti con credenziali di accesso al pannello amministrativo del sito (titolare, operatori, commercialista). Non si applica ai clienti del negozio, i cui dati di navigazione sono descritti nella Cookie Policy.

Dati trattati ad ogni tentativo di login:

  • Indirizzo IP, user-agent, esito (successo / fallimento), timestamp.
  • Fingerprint device: hash SHA-256 di (subnet /24 o /64 + user-agent normalizzato). Tollerante a DHCP/mobile, non identifica fisicamente il dispositivo.
  • Country code derivato dall'IP via servizio terzo ip-api.com (best-effort, timeout 1.5s, cache 24h): usato per rilevare accessi da paesi inusuali.
  • In caso di 2FA attivo: secret TOTP cifrato AES-256-GCM e/o credenziali pubbliche WebAuthn (passkey). Le componenti private delle passkey restano nel dispositivo dell'utente e non transitano dal server.

Finalità: rilevamento accessi anomali, blocco brute-force (≥5 fallimenti su stesso IP in 15 min → alert), notifica push/email al titolare in caso di nuovo device sconosciuto.

Base giuridica: legittimo interesse del Titolare alla sicurezza del sistema (art. 6.1.f GDPR) per gli account admin/operatore; esecuzione del contratto di servizio professionale per il commercialista (art. 6.1.b).

Conservazione: 36 mesi per log audit; sessioni revocate dopo 90 giorni di inattività; credenziali 2FA fino a revoca esplicita dall'utente.

Diritti specifici: ciascun utente admin può, dalla propria pagina “Sicurezza” nel pannello, visualizzare la cronologia dei propri accessi, revocare sessioni attive, disattivare 2FA/passkey e ottenere l'esportazione dei log che lo riguardano.

12. Minori

Il sito è destinato esclusivamente a maggiorenni (18+). Un age-gate verifica la maggiore età all'accesso. Non raccogliamo intenzionalmente dati di minori. Se ritieni che un minore abbia comunque fornito dati personali, contattaci immediatamente a privacy@velvetandco.it e provvederemo alla cancellazione nel più breve tempo possibile.

13. Aggiornamenti a questa policy

Questa Informativa può essere aggiornata per riflettere cambiamenti tecnici, organizzativi o normativi. La data dell'ultimo aggiornamento è indicata in cima alla pagina. In caso di modifiche sostanziali (es. nuova finalità di trattamento, nuovo Responsabile esterno) ti informeremo tramite banner sul sito o via email, dandoti la possibilità di revocare il consenso se non intendi accettare le novità.

14. Contatti e Responsabile Protezione Dati

Per qualsiasi domanda relativa a questa Informativa o al trattamento dei tuoi dati personali: