Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento dei dati personali raccolti su questo sito, ai sensi dell'articolo 4(7) del Regolamento generale sulla protezione dei dati (GDPR), è Laura Pouyadou EI (Entreprise Individuelle - ditta individuale, micro-imprenditore, SIRET 931 874 952 00019), gestore del sito geteverwear.com. Il suo indirizzo è indicato nella pagina note legali. Per qualsiasi domanda sulla protezione dei suoi dati, ci contatti all'indirizzo contact@geteverwear.com.

2. Dati raccolti

Raccogliamo i seguenti dati:

• Dati di identificazione: cognome, nome, indirizzo e-mail, indirizzo postale, numero di telefono (al momento di un ordine o della creazione di un account).
• Dati di transazione: storico degli ordini, importi, modalità di pagamento (i dati bancari non transitano mai dai nostri server; sono gestiti dal nostro fornitore Stripe).
• Dati di navigazione: pagine consultate con il relativo orario, tempo di lettura e quota di pagina scorsa, il sito da cui proviene, i marcatori di campagna presenti nell'indirizzo (vedere la sezione 9 ter), città approssimativa, tipo di dispositivo, nonché il browser e le lingue che il suo browser comunica spontaneamente a ogni pagina. Questa misurazione non deposita alcun cookie, non legge nulla sul suo dispositivo e non conserva il suo indirizzo IP: quest'ultimo serve soltanto, per la durata della richiesta, a calcolare una firma tecnica non reversibile, dopodiché viene eliminato.
• Dati letti sul suo dispositivo (risoluzione e densità dello schermo, fuso orario, lingue installate) e indirizzo IP completo: solo se acconsente, e unicamente nei due soli casi descritti nelle sezioni 9 bis (volantini cartacei) e 9 ter (misurazione dell'audience). Il rifiuto non cambia nulla della sua navigazione.

3. Finalità del trattamento

I suoi dati sono utilizzati per:

• Elaborare e spedire i suoi ordini
• Gestire il suo account cliente
• Inviarle le nostre newsletter (se ha acconsentito)
• Migliorare il nostro sito e i nostri servizi
• Adempiere ai nostri obblighi di legge (fatturazione, contabilità)
• Misurare l'efficacia delle nostre campagne con volantini cartacei (vedere la sezione 9 bis)

4. Base giuridica

Ogni trattamento descritto in questa pagina si basa su una di queste quattro basi:

• L'esecuzione del contratto (GDPR art. 6(1)(b)): i suoi ordini, la loro spedizione, il loro monitoraggio, i resi e il servizio clienti correlato.
• Un obbligo legale (art. 6(1)(c)): la conservazione delle fatture per dieci anni, e la conservazione della prova della sua scelta sui tracciatori, che l'articolo 7(1) del GDPR ci impone di poter dimostrare.
• Il suo consenso (art. 6(1)(a), e art. 82 della legge francese Informatique et Libertés quando si tratta di leggere qualcosa sul suo dispositivo): la newsletter, i cookie non essenziali, le misurazioni di audience di terze parti, la posizione e l'impronta digitale durante la scansione di un volantino (sezione 9 bis), nonché il livello esteso della misurazione dell'audience descritto nella sezione 9 ter.
• Il nostro legittimo interesse (art. 6(1)(f)): la sicurezza del sito e la prevenzione delle frodi, nonché la misurazione della frequentazione del nostro negozio — sapere quali pagine vengono lette, se una persona torna e attraverso quale link è arrivata (sezione 9 ter). Questo interesse è stato oggetto di un bilanciamento scritto con i suoi diritti, che teniamo a disposizione della CNIL (l'autorità francese per la protezione dei dati) e che le comunichiamo su semplice richiesta a contact@geteverwear.com. Può opporsi in qualsiasi momento, allo stesso indirizzo.

5. Durata di conservazione

6. Destinatari e responsabili del trattamento

Non vendiamo, non noleggiamo né comunichiamo i suoi dati a nessuno a fini commerciali. Ciò è escluso, senza eccezioni e qualunque sia la contropartita proposta. Li utilizziamo esclusivamente per le nostre analisi interne: capire come il nostro sito viene consultato, migliorarne il posizionamento nei motori di ricerca, le schede prodotto, il funzionamento e le nostre vendite. Gli unici terzi che ricevono qualcosa sono i fornitori tecnici elencati di seguito, ciascuno per un compito specifico che non potremmo svolgere da soli (ospitare il sito, incassare un pagamento, spedire un pacco).

I suoi dati sono strettamente riservati a GetEverwear e ai suoi responsabili tecnici elencati di seguito. Non vendiamo né noleggiamo i suoi dati a terzi.

7. Trasferimenti al di fuori dell'Unione europea

I nostri fornitori hanno sede nell'Unione europea. In caso di trasferimento extra-UE (ad esempio per alcuni strumenti analitici), facciamo in modo che sia regolato dalle clausole contrattuali tipo approvate dalla Commissione europea.

8. I suoi diritti (GDPR)

In base al GDPR, Lei dispone dei seguenti diritti:

• Diritto di accesso ai suoi dati
• Diritto di rettifica
• Diritto alla cancellazione («diritto all'oblio»)
• Diritto alla limitazione del trattamento
• Diritto alla portabilità dei suoi dati
• Diritto di opposizione
• Diritto di revocare il consenso in qualsiasi momento

Per esercitare questi diritti, ci scriva a contact@geteverwear.com allegando una copia di un documento d'identità. Può inoltre presentare un reclamo alla CNIL (www.cnil.fr).

9. Cookie e tracciatori di terze parti

Oltre ai nostri cookie di sessione, carichiamo script di terze parti che possono depositare propri cookie:

• Stripe, per proteggere i pagamenti e rilevare le frodi (cookie __stripe_mid, __stripe_sid). Indispensabili al checkout.
• Cloudflare Turnstile, protezione anti-bot sui moduli di registrazione e di accesso (token di convalida temporaneo, nessun cookie persistente). Indispensabile alla sicurezza del sito.
• Chat del servizio clienti GetEverwear: cookie chat_session_id (firmato HMAC, 30 giorni, Strict). Serve solo a ritrovare la sua conversazione tra due visite se non è connesso/a. Nessuna condivisione con terzi: la messaggistica è ospitata sui nostri server (Netcup, Germania). Messaggi conservati per 90 giorni, poi eliminati automaticamente. Indispensabile al funzionamento della chat (quindi depositato senza consenso specifico, art. 82 della legge Informatique & Libertés — finalità strettamente necessaria al servizio richiesto dall'utente).

Dopo il suo consenso esplicito, carichiamo Google Analytics 4 (cookie _ga, _ga_*) per incrociare i dati di navigazione con Google Search Console e ottimizzare il posizionamento naturale. Configurazione: anonimizzazione dell'IP, nessun segnale pubblicitario (allow_google_signals: false), nessuna personalizzazione Ads (allow_ad_personalization_signals: false). Le categorie sono indipendenti: può accettare la misurazione anonima dell'audience e rifiutare GA4, o viceversa.

Al momento di scegliere un punto di ritiro, la mappa visualizzata carica il suo sfondo dai server della Fondazione OpenStreetMap. Questa richiesta trasmette il suo indirizzo IP, senza cookie né identificatore, e avviene solo se apre questa fase dell'ordine.

Solo dopo il suo consenso esplicito, carichiamo il tag di Google Ads, che deposita i cookie di conversione e di remarketing di Google (_gcl_au, _gcl_aw, _gcl_dc, NID) per misurare le vendite generate dalle nostre inserzioni Google. Al momento di un acquisto trasmette l'importo, la valuta, il numero d'ordine e il suo indirizzo e-mail sottoposto ad hash (SHA-256, mai in chiaro). Il Consent Mode v2 è attivato: finché non ha acconsentito alla categoria “Pubblicità”, nessuno di questi cookie viene depositato e nessun dato pubblicitario viene inviato a Google.

I dettagli completi sono disponibili nella pagina Gestione dei cookie.

9 bis. Campagne con volantini cartacei

Distribuiamo volantini stampati che riportano un indirizzo breve del tipo geteverwear.com/fr/f1, talvolta sotto forma di codice QR. Questo indirizzo ci permette di sapere se un volantino è servito a qualcosa. Ecco esattamente cosa succede quando lo apre.

Ciò che registriamo in ogni caso

Al caricamento della pagina, e senza chiedere il suo consenso, registriamo: il codice del volantino, la data e l'ora, il suo indirizzo IP troncato (l'ultimo blocco viene sostituito con zero, quindi non permette più di identificarla), il paese, il tipo di dispositivo, il browser, il sistema operativo e la lingua comunicata dal suo browser. Depositiamo inoltre un identificatore casuale in un cookie denominato _ge_flyer, conservato per 13 mesi, che serve solo a contare quante volte uno stesso dispositivo ha scansionato i nostri volantini.

Questa raccolta rientra nella misurazione dell'audience ed è esente dal consenso (raccomandazione della CNIL del 17 settembre 2020, adottata in applicazione dell'articolo 82 della legge Informatique et Libertés): serve esclusivamente a misurare le nostre campagne, non è oggetto di alcun incrocio con altri trattamenti e non viene comunicata a nessuno.

Ciò che registriamo solo con il suo consenso

La pagina le propone una scelta esplicita. Se — e solo se — clicca su “Accetto”, registriamo inoltre:

• la sua posizione geografica, così come il suo browser ce la comunica dopo averle chiesto una seconda autorizzazione (può ancora rifiutare in questa fase);
• un'impronta tecnica del suo dispositivo: dimensione e definizione dello schermo, lingue installate, fuso orario, numero di core del processore, memoria, font rilevati, scheda grafica, resa grafica e audio. Combinati, questi elementi costituiscono una firma che permette di riconoscere il suo dispositivo anche senza cookie;
• il suo indirizzo IP completo.

Base giuridica: il suo consenso (GDPR art. 6(1)(a) e art. 82 della legge Informatique et Libertés). Finalità: sapere in quali luoghi e a quali momenti i nostri volantini vengono scansionati, per decidere dove distribuirli in seguito. Destinatari: nessuno. Questi dati restano sui nostri server (Netcup, Germania) e non vengono venduti, noleggiati né trasmessi a una rete pubblicitaria. I nostri strumenti di misurazione di terze parti (Google Analytics 4) ricevono solo il codice del volantino e il numero progressivo della scansione: né la sua posizione, né la sua impronta, né il suo indirizzo IP completo vengono loro trasmessi.

Se rifiuta, accede al negozio esattamente nello stesso modo. Conserviamo allora soltanto il conteggio descritto nel paragrafo precedente, nonché la traccia del suo rifiuto — è ciò che ci permette di non chiederglielo di nuovo e di dimostrare di averlo rispettato.

Durata : 13 mesi. Trascorso questo termine, un trattamento automatico cancella ogni notte la posizione, l'impronta, l'indirizzo IP e l'identificatore di misurazione. Resta solo una riga di conteggio anonimo, a sua volta cancellata a 25 mesi.

Come tornare sulla sua scelta : elimini il cookie _ge_flyer dalle impostazioni del suo browser, e revochi l'autorizzazione di geolocalizzazione concessa al nostro sito (impostazioni del sito, sezione “Posizione”). Per chiedere la cancellazione delle scansioni già registrate, ci scriva all'indirizzo indicato nella sezione 13 comunicandoci il valore di questo cookie: è l'unico elemento che ci consente di ritrovare le sue registrazioni, poiché non disponiamo né del suo nome né del suo indirizzo e-mail in questo trattamento.

9 ter. Riconoscimento delle visite

Per sapere se una persona torna sul sito e quali pagine consulta, calcoliamo un'impronta tecnica a partire da tre elementi: il suo indirizzo IP ridotto alla sua rete (le ultime cifre vengono eliminate), la famiglia del suo browser e del suo sistema — senza la versione —, e la sua lingua. Questi elementi vengono mescolati a una chiave segreta nota solo a noi, quindi trasformati in una firma che non può essere ricondotta all'indirizzo d'origine.

A questa firma viene assegnato un soprannome estratto a sorte in modo riproducibile — “Only Turquoise Flyingfish” — che ci serve a parlare di una visita senza mai maneggiare un identificatore. Conserviamo il numero di passaggi, la data dell'ultimo, le pagine consultate con il relativo orario, il tempo trascorso su ciascuna e la quota di pagina scorsa, la città, il tipo di dispositivo, nonché il browser e le lingue che il suo browser comunica spontaneamente a ogni richiesta — li conserviamo così come sono, senza troncarli.

Ciò che l'indirizzo d'arrivo ci dice in più. Quando arriva tramite un link pubblicitario o una campagna, questo indirizzo contiene marcatori che conserviamo: i parametri utm_source, utm_medium, utm_campaign, utm_content, utm_term, ref e gli identificatori di clic fbclid (Meta), gclid (Google Ads), ttclid (TikTok) e msclkid (Microsoft Ads). Ci dicono quale pubblicazione o quale inserzione l'ha portata qui, cosa che il solo nome del sito di provenienza non dice mai. L'elenco qui sopra è chiuso: qualsiasi altro parametro presente nell'indirizzo viene scartato senza essere letto. Questi marcatori seguono la durata del percorso di navigazione, cioè 5 anni.

Ciò che non è: un archivio di clienti. Il registro delle visite non contiene alcun nome, alcun indirizzo e-mail, alcun numero d'ordine, e non lo utilizziamo mai per riconoscere un cliente. Una riserva, perché è verificabile: quando risponde al banner del consenso essendo connesso/a, la prova di tale scelta registra affiancati la sua impronta tecnica e il suo indirizzo e-mail (vedere la sezione 5). Un collegamento tra i due è quindi tecnicamente possibile. Serve solo a provare la sua scelta, mai ad analizzare la sua navigazione. Base giuridica: il nostro legittimo interesse a misurare la frequentazione del nostro negozio (GDPR art. 6(1)(f)), per il livello descritto finora. Destinatari: nessuno. Questi dati restano sui nostri server e non vengono venduti né trasmessi a una rete pubblicitaria.

Città e paese sono dedotti dal suo indirizzo IP tramite una banca dati installata sul nostro server, DB-IP Lite (licenza CC BY 4.0). Nessuna richiesta viene inviata a nessuno: il suo indirizzo non lascia i nostri server. Non viene più utilizzato alcun servizio esterno di geolocalizzazione. Finché questa banca dati non è installata su un dato server, semplicemente non determiniamo la sua città; resta noto solo il paese, così come il nostro fornitore di sicurezza lo trasmette con la richiesta.

Uno strato in più, solo se lo accetta

Tutto quanto precede avviene senza chiedere nulla al suo dispositivo. Se seleziona la casella “misurazione dell'audience” del nostro banner, registriamo inoltre ad ogni pagina:

• il suo indirizzo IP completo, così com'è — mentre senza il suo accordo ne viene ricavata solo una firma non reversibile;
• caratteristiche lette sul suo dispositivo: la risoluzione del suo schermo, la densità di pixel, la dimensione della finestra, il fuso orario, le lingue installate, il numero di core del processore e la memoria disponibile;
• un'impronta del dispositivo calcolata a partire da questi elementi, che permette di riconoscere il suo dispositivo anche se cambia rete.

Perché. Questi elementi rispondono a domande che il livello predefinito lascia aperte: è la stessa persona che torna dal telefono e poi dal computer, le nostre schede prodotto si visualizzano correttamente sugli schermi realmente utilizzati, a quale ora locale i nostri visitatori consultano il sito. Non ne traiamo alcuna decisione che la riguardi: né prezzi diversi, né contenuti personalizzati, né solleciti.

Perché cinque anni, e perché il suo indirizzo. Siamo un piccolo negozio di seconda mano e la nostra attività segue le stagioni. Confrontare un agosto con quello dell'anno precedente non basta: un solo confronto non dice se stiamo progredendo o se siamo stati semplicemente fortunati. Cinque anni danno quattro inverni e quattro estati da confrontare — la prima scala su cui si può affermare che il sito migliora, o che una decisione è stata sbagliata. Quanto al suo indirizzo, ci fornisce la sua città approssimativa: ci mostra quali regioni si interessano ai nostri pezzi, e dunque cosa ci conviene cercare per loro. È ciò che ci aiuta a mandare avanti il negozio — e preferiamo dirglielo piuttosto che tacerlo.

Base giuridica: il suo consenso (GDPR art. 6(1)(a) e art. 82 della legge Informatique et Libertés — leggere qualcosa sul suo dispositivo richiede un accordo, senza eccezione possibile, anche per la misurazione dell'audience). Durata : 5 anni, come il resto del percorso di navigazione, poi cancellazione automatica. Destinatari : nessuno. Nulla di tutto ciò esce dai nostri server, non viene venduto né trasmesso a una rete pubblicitaria.

Se rifiuta, o se non risponde al banner, nulla di questo elenco viene letto né conservato — non ci limitiamo a non registrarlo, non lo interroghiamo proprio. Il sito funziona esattamente allo stesso modo: nessuna pagina, nessun articolo, nessuna funzione è riservata a chi accetta, e non le riproporremo la domanda a ogni visita. Può modificare la sua scelta in qualsiasi momento tramite il link “Gestione dei cookie” in fondo alla pagina; da quel momento non viene letto più nulla.

Per opporsi all'insieme della sezione 9 ter, comprensivo dello strato predefinito, scriva a contact@geteverwear.com: cancelliamo la firma corrispondente e il percorso di navigazione associato. Può anche navigare in una finestra privata o cambiare rete, il che produce una firma diversa.

10. Misure di sicurezza

Adottiamo le seguenti misure tecniche e organizzative:

• Crittografia TLS 1.3 su tutto il sito (certificati Let's Encrypt rinnovati automaticamente)
• Password memorizzate in forma hash (bcrypt / argon2), mai in chiaro
• Nessun dato bancario transita dai nostri server (tokenizzazione Stripe)
• Backup cifrati giornalieri in Europa con rotazione di 30 giorni
• Accesso all'amministrazione limitato, registrato e protetto da MFA
• Aggiornamenti di sicurezza applicati entro 7 giorni per le vulnerabilità critiche

11. Notifica di violazione dei dati

In caso di violazione di dati personali che possa comportare un rischio per i suoi diritti e le sue libertà, GetEverwear notificherà la CNIL entro 72 ore conformemente all'articolo 33 del GDPR, e La informerà al più presto se la violazione rischia di comportare un rischio elevato per i suoi diritti.

12. Dati riguardanti i minori

Il nostro sito non è destinato alle persone di età inferiore a 16 anni. Se ha meno di 16 anni, chieda a un genitore o a un tutore di effettuare l'ordine per Lei. Qualora venissimo a conoscenza della raccolta di dati riguardanti un minore di 16 anni senza consenso genitoriale, provvederemmo senza indugio alla loro cancellazione.

13. Contatti / Responsabile della protezione dei dati (DPO)

Nessun responsabile della protezione dei dati è stato designato, e non si tratta di una dimenticanza. Tale designazione è obbligatoria (articolo 37 del GDPR) solo per gli organismi pubblici, per quelli la cui attività principale consiste nel monitorare persone su larga scala, e per quelli che trattano dati sensibili. GetEverwear non rientra in nessuno di questi casi. Le sue richieste sono quindi trattate direttamente dalla responsabile del trattamento:

• Email generale: contact@geteverwear.com
• Posta: all'attenzione del DPO, all'indirizzo indicato nelle nostre note legali

Ha inoltre il diritto di presentare un reclamo alla CNIL: www.cnil.fr.

14. Modifiche alla presente informativa

La presente informativa può essere aggiornata per riflettere le evoluzioni normative o tecniche. La data dell'ultimo aggiornamento figura in cima alla pagina. Per le modifiche sostanziali, La informeremo via e-mail se è iscritto/a alla nostra newsletter.

Questa informativa è fornita a titolo informativo. La faccia convalidare da un DPO o da un professionista del diritto per una conformità completa.