Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento dei dati personali su questo sito web è:

Wisteria GmbH
Hechtstr. 43
82266 Inning, Germania
E-mail: support@puzzlepotato.com

2. Accesso al nostro sito web (file di log del server)

Ad ogni accesso al nostro sito web il browser invia automaticamente informazioni al server del nostro sito web, che vengono memorizzate temporaneamente in un file di log. Vengono rilevati:

• il sito web consultato e l'ora dell'accesso
• la quantità di dati trasferiti, in byte
• il sito web visitato in precedenza (referrer)
• il browser e il sistema operativo utilizzati
• l'indirizzo IP (eventualmente in forma anonimizzata)

Il trattamento avviene ai sensi dell'art. 6, par. 1, lett. f), del GDPR. Il nostro legittimo interesse consiste nel garantire l'instaurazione di una connessione senza interruzioni e un utilizzo agevole del sito, nonché nella valutazione della sicurezza e della stabilità dei sistemi.

3. Cookie

Utilizziamo cookie e tecnologie analoghe. I cookie tecnici (in particolare per la gestione della tua sessione, del tuo carrello e per la memorizzazione delle tue impostazioni cookie) vengono impiegati ai sensi del § 25, comma 2, TDDDG (legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali) nonché dell'art. 6, par. 1, lett. b) e lett. f), del GDPR; per essi non è necessario il consenso (per la misurazione dell'audience senza cookie si veda il punto 4).

I cookie statistici e di marketing (si vedano i punti da 5 a 7) vengono impiegati solo se hai prestato il consenso tramite il nostro banner cookie (art. 6, par. 1, lett. a), del GDPR, e § 25, comma 1, TDDDG). Il consenso è facoltativo e non è necessario per l'utilizzo del negozio; puoi revocarlo in qualsiasi momento, con effetto per il futuro, tramite «Impostazioni cookie» nel piè di pagina. Un elenco completo di tutti i cookie utilizzati, con i relativi tempi di conservazione, è disponibile nella nostra pagina «Informativa sui cookie».

4. Misurazione dell'audience (senza cookie)

Per rilevare il carico e l'utilizzo del nostro negozio effettuiamo una misurazione dell'audience propria e priva di cookie (visualizzazioni di pagina, numero di visitatori al giorno e di visitatori attivi contemporaneamente, pagine più visitate). A tal fine il tuo browser genera un identificativo casuale, conservato unicamente nella memoria della relativa scheda del browser; non vengono installati cookie né memorizzati dati sul tuo dispositivo. Per contarti come visitatore una sola volta al giorno, ricaviamo dal tuo indirizzo IP e dall'identificativo del tuo browser (user agent) una chiave non reversibile che cambia ogni giorno; essa esiste solo nella memoria del nostro server e non viene memorizzata.

Trattiamo inoltre la tua posizione approssimativa, che il nostro fornitore di rete Cloudflare (si veda il punto 19) ricava dal tuo indirizzo IP: il paese e, se nota, la città, con coordinate arrotondate a circa 10 km. Conserviamo città e coordinate solo finché navighi sul nostro sito web e le cancelliamo al più tardi 15 minuti dopo; le utilizziamo per mostrare su una mappa le visite in corso. Per ogni visualizzazione di pagina memorizziamo, senza alcun collegamento con la tua persona, soltanto la pagina visitata, il paese e l'orario, e cancelliamo tali dati dopo 91 giorni. Se arrivi al nostro negozio dall'esterno, contiamo inoltre, per giorno e per paese, da dove provengono le visite. Ricaviamo la fonte dal nome del sito web che ti ha indirizzato a noi (ad esempio google.com, senza l'indirizzo della singola pagina), dai dati di campagna contenuti nel link e dal fatto che il link provenga o meno da un annuncio; memorizziamo soltanto il numero di visite per fonte, senza alcun collegamento con la tua persona. Se hai effettuato l'accesso al tuo account cliente, per questo periodo associamo la visita in corso al tuo account; nel caso dei clienti business, i nostri collaboratori possono così vedere chi è attualmente attivo nel portale clienti.

Non memorizziamo l'indirizzo IP in quanto tale per la misurazione dell'audience. Per limitare gli abusi, ci limitiamo a contare nella memoria del nostro server quante visualizzazioni di pagina provengono da uno stesso indirizzo IP nello stesso giorno, ed eliminiamo tale conteggio al più tardi al cambio di giorno. Non ha luogo alcuna combinazione con altre fonti di dati né alcun tracciamento su più dispositivi. La base giuridica è l'art. 6, par. 1, lett. f), del GDPR; il nostro legittimo interesse consiste nella valutazione statistica e nel garantire il funzionamento stabile della nostra offerta.

5. Google Analytics 4

Se hai prestato il consenso, utilizziamo Google Analytics 4, un servizio di analisi web di Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irlanda («Google»). Google Analytics utilizza cookie (_ga e _ga_*, con durata di conservazione di 2 anni ciascuno) e tratta identificativi pseudonimi (ID client e ID sessione) nonché dati relativi al dispositivo e all'utilizzo, al fine di analizzare l'uso del nostro negozio. Dopo un acquisto trasmettiamo inoltre a Google Analytics, lato server, un evento di acquisto con ID client/sessione, numero d'ordine e dati del carrello (Measurement Protocol), per attribuire l'acquisto alla sessione; anche ciò avviene solo se è stato prestato il consenso.

La base giuridica è il tuo consenso (art. 6, par. 1, lett. a), del GDPR, e § 25, comma 1, TDDDG); in assenza di consenso Google Analytics non viene caricato. Google tratta questi dati per nostro conto in qualità di responsabile del trattamento, sulla base delle condizioni di Google relative al trattamento dei dati (art. 28 del GDPR). I dati possono essere trasferiti a Google LLC negli Stati Uniti; il trasferimento si fonda sulla decisione di adeguatezza della Commissione europea relativa all'EU-US Data Privacy Framework (art. 45 del GDPR), rispetto al quale Google LLC è certificata (per il Regno Unito e la Svizzera si applicano rispettivamente la UK Extension e lo Swiss-U.S. DPF). Ove nel singolo caso il DPF non trovi applicazione, il trasferimento si fonda sul tuo consenso (art. 49, par. 1, lett. a), del GDPR); in tal caso negli Stati Uniti potrebbe non sussistere un livello di protezione dei dati equivalente e le autorità pubbliche potrebbero accedere ai dati senza che tu disponga di mezzi di ricorso effettivi. Puoi revocare il tuo consenso in qualsiasi momento tramite «Impostazioni cookie» nel piè di pagina. Ulteriori informazioni: https://policies.google.com/privacy.

6. Google Ads

Se hai prestato il consenso, utilizziamo Google Ads (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irlanda) per misurare il rendimento dei nostri annunci (misurazione delle conversioni) e per il remarketing. A tal fine vengono installati cookie quali _gcl_au e _gcl_aw (3 mesi ciascuno) e IDE (13 mesi), per riconoscere se sei giunto a noi tramite un annuncio e se ne è derivato un acquisto. Dopo un acquisto trasmettiamo inoltre a Google una forma pseudonimizzata (sottoposta ad hash SHA-256) del tuo indirizzo e-mail («Enhanced Conversions»), per attribuire l'acquisto all'annuncio; l'hashing avviene già nel tuo browser e l'indirizzo e-mail in quanto tale non viene trasmesso a Google. Anche ciò avviene solo se è stato prestato il consenso relativo a Google Ads.

La base giuridica è il tuo consenso (art. 6, par. 1, lett. a), del GDPR, e § 25, comma 1, TDDDG), che puoi revocare in qualsiasi momento tramite «Impostazioni cookie» nel piè di pagina. Per il trattamento dei dati pubblicitari nei propri sistemi Google opera, sotto il profilo della protezione dei dati, quale titolare autonomo del trattamento; a tale riguardo si applicano le condizioni di Google in materia di protezione dei dati tra titolari autonomi (controller-controller). I dati possono essere trasferiti a Google LLC negli Stati Uniti; il trasferimento si fonda sulla decisione di adeguatezza della Commissione europea relativa all'EU-US Data Privacy Framework (art. 45 del GDPR), rispetto al quale Google LLC è certificata (per il Regno Unito e la Svizzera si applicano rispettivamente la UK Extension e lo Swiss-U.S. DPF). Ove nel singolo caso il DPF non trovi applicazione, il trasferimento si fonda sul tuo consenso (art. 49, par. 1, lett. a), del GDPR); in tal caso negli Stati Uniti potrebbe non sussistere un livello di protezione dei dati equivalente e le autorità pubbliche potrebbero accedere ai dati senza che tu disponga di mezzi di ricorso effettivi. Ulteriori informazioni: https://policies.google.com/privacy.

Google Customer Reviews: dopo un ordine puoi, se lo desideri, aprire il programma «Google Customer Reviews» nella pagina di conferma dell'ordine. Solo con questo clic viene caricato un modulo di Google (Google Ireland Ltd.) e vengono trasmessi a Google il numero d'ordine, l'indirizzo e-mail, il paese di consegna e la data di consegna stimata; se acconsenti all'interno del modulo, Google ti invia dopo la consegna un'e-mail con la richiesta di una recensione. A tal fine Google può inserire e leggere nel tuo browser cookie o tecnologie simili (come i web beacon); puoi eliminare o bloccare i cookie in qualsiasi momento nelle impostazioni del tuo browser. La base giuridica è il tuo consenso (art. 6, par. 1, lett. a) GDPR, § 25, comma 1 TDDDG); è facoltativo e, senza il tuo clic, nessun dato viene trasferito a Google. Google è autonomamente responsabile del trattamento successivo; per il trasferimento negli Stati Uniti vale quanto sopra.

7. Meta Pixel e Conversions API

Se hai prestato il consenso, utilizziamo il Meta Pixel di Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irlanda («Meta»), per misurare il rendimento della nostra pubblicità su Facebook e Instagram e per creare gruppi di pubblico personalizzati (Custom Audiences). Il pixel installa cookie (_fbp, _fbc e fr, con durata di conservazione di 3 mesi ciascuno) e rileva le tue interazioni con il nostro negozio. Dopo un acquisto trasmettiamo inoltre a Meta, lato server tramite la Meta Conversions API, una forma pseudonimizzata (sottoposta ad hash SHA-256) del tuo indirizzo e-mail, gli ID dei cookie _fbp/_fbc nonché i dati dell'ordine (ad esempio valore dell'ordine e valuta), per attribuire l'acquisto all'annuncio; anche ciò avviene solo se è stato prestato il consenso.

La base giuridica è il tuo consenso (art. 6, par. 1, lett. a), del GDPR, e § 25, comma 1, TDDDG); in assenza di consenso al marketing non viene caricato il pixel né ha luogo la trasmissione lato server. Per la raccolta e la trasmissione di tali dati siamo contitolari del trattamento insieme a Meta (art. 26 del GDPR); l'accordo di contitolarità è il Controller Addendum di Meta. In base ad esso, Meta è responsabile del successivo trattamento dei dati quale titolare autonomo. I dati possono essere trasferiti a Meta Platforms Inc. negli Stati Uniti; il trasferimento si fonda sulla decisione di adeguatezza della Commissione europea relativa all'EU-US Data Privacy Framework (art. 45 del GDPR), rispetto al quale Meta Platforms Inc. è certificata (per il Regno Unito e la Svizzera si applicano rispettivamente la UK Extension e lo Swiss-U.S. DPF). Ove nel singolo caso il DPF non trovi applicazione, il trasferimento si fonda sul tuo consenso (art. 49, par. 1, lett. a), del GDPR); in tal caso negli Stati Uniti potrebbe non sussistere un livello di protezione dei dati equivalente e le autorità pubbliche potrebbero accedere ai dati senza che tu disponga di mezzi di ricorso effettivi. Puoi revocare il tuo consenso in qualsiasi momento tramite «Impostazioni cookie» nel piè di pagina. Ulteriori informazioni: https://www.facebook.com/privacy/policy.

8. Provenienza degli ordini (attribuzione delle campagne)

Per capire attraverso quali pagine e campagne nascono gli ordini, durante la tua visita annotiamo quanto segue, senza memorizzare nulla sul tuo dispositivo a tale scopo: la pagina da cui sei entrato nel nostro negozio (senza i parametri aggiunti), il dominio del sito web da cui sei arrivato, i parametri di campagna dell'indirizzo richiamato (parametri UTM, ad esempio sorgente, mezzo e nome della campagna) e un breve codice con cui contrassegniamo i link e i consigli delle nostre pagine. Quando aggiungi un articolo al carrello o effettui un ordine, memorizziamo questi dati insieme al carrello e all'ordine, oltre al tipo di dispositivo (smartphone, tablet o computer), che ricaviamo dalle informazioni che il tuo browser trasmette a ogni richiesta di pagina. Se in seguito effettui un ordine dallo stesso carrello, attribuiamo l'ordine a questa provenienza. La base giuridica è l'art. 6, par. 1, lett. f), del GDPR; il nostro interesse legittimo consiste nel capire quali pubblicità e quali contenuti portano ad acquisti. Cancelliamo questi dati 14 mesi dopo l'ordine; in un carrello, dopo un ordine o dopo 90 giorni senza modifiche.

Se hai prestato il consenso ai cookie statistici, memorizziamo inoltre nel tuo browser, per un massimo di 90 giorni, i parametri di campagna, la pagina di ingresso e la provenienza di una visita iniziata tramite una campagna o tramite uno di questi link contrassegnati. Se effettui un ordine in una visita successiva entro tale periodo, attribuiamo l'ordine a quella prima campagna (attribuzione «first-touch»). La base giuridica è il tuo consenso (art. 6, par. 1, lett. a), del GDPR, e § 25, comma 1, TDDDG), che puoi revocare in qualsiasi momento tramite «Impostazioni cookie» nel piè di pagina.

Se hai prestato il consenso a Google Ads e sei arrivato da noi tramite un annuncio Google, al momento dell'ordine trasmettiamo inoltre l'identificativo di clic che Google aggiunge all'indirizzo richiamato (gclid, gbraid o wbraid) e lo memorizziamo insieme all'ordine, per poter attribuire l'acquisto all'annuncio. Non memorizziamo noi stessi l'identificativo di clic sul tuo dispositivo a tale scopo; con il tuo consenso, Google lo salva nel cookie _gcl_aw (vedi la sezione 6). Sull'ordine lo cancelliamo 90 giorni dopo l'ordine. La base giuridica è il tuo consenso (art. 6, par. 1, lett. a), del GDPR).

9. Registro dei consensi (consensi relativi ai cookie)

La tua decisione espressa nel banner cookie (consenso o rifiuto) viene da noi registrata lato server, affinché possiamo dimostrarla (art. 7, par. 1, del GDPR). Vengono memorizzati un identificativo di consenso pseudonimo generato nel tuo browser, la tua decisione per ciascuna categoria, la versione del testo del consenso, il momento della decisione, la pagina richiamata, un indirizzo IP in forma abbreviata (non completo) nonché l'identificativo del browser (user agent). La base giuridica è l'art. 6, par. 1, lett. c), del GDPR (obbligo di dimostrare il consenso) in combinato disposto con l'art. 6, par. 1, lett. f), del GDPR. Il registro viene conservato per 13 mesi e successivamente cancellato.

10. Account cliente e registrazione

Presso di noi puoi creare un account cliente. I dati raccolti a tal fine (ad esempio nome, indirizzo e-mail, indirizzo di fatturazione e di consegna) vengono trattati per l'esecuzione del contratto e per la gestione del tuo account ai sensi dell'art. 6, par. 1, lett. b), del GDPR. Puoi in qualsiasi momento richiedere la cancellazione del tuo account cliente contattandoci.

Per i clienti business (B2B) trattiamo inoltre il numero di identificazione IVA per verificare l'assoggettamento a imposta. L'accesso all'account cliente avviene senza password, mediante un codice monouso (OTP) inviato via e-mail.

10a. Classifica

Nel tuo account cliente puoi partecipare alla nostra classifica: scegli un nickname e carichi una foto di ogni puzzle box che hai risolto, che il nostro team verifica e approva o rifiuta. Per prima cosa sottoponiamo ogni foto a una scansione antivirus. Non conserviamo il file caricato in sé, ma due copie quadrate che ne ricaviamo: una fino a 1200 pixel, visibile solo a te e al nostro team, e una di 256 pixel per la classifica. Nel farlo rimuoviamo tutti i metadati incorporati nella foto, come il luogo in cui è stata scattata (GPS). La scansione antivirus e questa elaborazione avvengono sul nostro server. Inoltre confrontiamo automaticamente ogni foto con quelle già inviate, tramite una copia in scala di grigi di 64 pixel che conserviamo a questo scopo: una foto identica viene rifiutata subito, una molto simile viene mostrata al nostro team per il confronto.

Nella classifica pubblica mostriamo il tuo nickname, la tua posizione, il tuo livello (il numero delle tue scatole approvate), le tue foto approvate nel formato piccolo e quando le hai caricate; se hai indicato un paese, anche la sua bandiera. In altre pagine del nostro negozio, ad esempio nelle pagine degli indizi, mostriamo i primi tre posti con la loro bandiera, ma senza il nickname, ciascuno con una delle sue foto approvate, scelta di nuovo ogni giorno. La classifica è consultabile da chiunque e può essere indicizzata dai motori di ricerca. Lì non mostriamo mai il tuo nome né il tuo indirizzo e-mail.

Se vuoi, puoi indicare un paese e, al suo interno, una città o un CAP, oppure toccare il tuo luogo su una mappa. Dalla città o dal CAP ricaviamo, con un elenco di località presente sul nostro server, una posizione precisa a circa 11 km; un luogo che tocchi viene arrotondato a circa 11 km già nel tuo browser, e da esso ricaviamo il paese. Mentre digiti una città o un CAP, ti suggeriamo i luoghi e i CAP corrispondenti di quell'elenco; per questo ciò che digiti viene inviato al nostro server e viene memorizzato solo quando salvi. La mappa su cui tocchi proviene dal nostro server, non da un servizio di mappe. Mostriamo le tue scatole approvate in quella posizione come un punto su una mappa del mondo; se hai indicato solo un paese, contano per quel paese. Un punto mostra solo il paese e quante scatole sono state risolte in quel luogo, mai il tuo nickname né il nome della località. Come suggerimento che puoi accettare con un solo tocco, ti mostriamo il paese e la città che Cloudflare ricava dal tuo indirizzo IP (si veda il punto 19), e apriamo la mappa in quella zona; memorizziamo solo ciò che accetti e salvi.

Ti inviamo un'e-mail quando raggiungi un nuovo livello o quando non approviamo una foto. In caso di rifiuto il nostro team può aggiungere una nota, che compare nell'e-mail e accanto alla scatola nel tuo account cliente. Registriamo le tue modifiche e le nostre decisioni nella cronologia del tuo account cliente.

Se togli la spunta da «Mostra il mio nickname e le mie foto nella classifica pubblica», la tua voce, le tue foto e i tuoi punti sulla mappa scompaiono subito da tutte le pagine pubbliche; nel tuo account cliente le tue scatole continuano a contare. Se elimini una foto, ne eliminiamo subito entrambe le copie. Le immagini già caricate possono restare fino a un'ora nelle memorie cache. Puoi modificare in qualsiasi momento nickname, paese e città, e anche rimuovere paese e città. Conserviamo le foto finché non le elimini o non le sostituisci con una nuova; il tuo nickname e gli altri dati, finché esiste il tuo account cliente o finché non ci chiedi di cancellarli. Con il tuo account cliente cancelliamo anche la tua partecipazione e tutte le foto.

La base giuridica è l'art. 6, par. 1, lett. b), del GDPR: trattiamo questi dati per consentirti di partecipare alla classifica, come hai scelto di fare. La visualizzazione pubblica è lo scopo di questa partecipazione ed è quindi preimpostata; sei tu a decidere con la casella di spunta se avviene. Per la scansione antivirus, il confronto delle foto e il suggerimento del luogo ci basiamo sull'art. 6, par. 1, lett. f), del GDPR; il nostro legittimo interesse consiste nella sicurezza dei nostri sistemi, in una classifica equa e in un inserimento più semplice.

11. Gestione dell'ordine

Per la gestione del tuo ordine trattiamo i dati dell'ordine, di fatturazione e di consegna da te forniti. La base giuridica è l'art. 6, par. 1, lett. b), del GDPR (esecuzione del contratto). Ove sussistano obblighi legali di conservazione (ad esempio in materia commerciale e fiscale), conserviamo i dati interessati ai sensi dell'art. 6, par. 1, lett. c), del GDPR per la durata di tali termini (di norma fino a dieci anni).

12. Comunicazione ai fornitori di servizi di spedizione

Per la consegna della merce ordinata comunichiamo i tuoi dati di consegna all'impresa di spedizione incaricata del recapito, nella misura in cui ciò è necessario per la consegna. La base giuridica è l'art. 6, par. 1, lett. b), del GDPR. A seconda dell'ordine può trattarsi di una delle seguenti imprese:

• DHL / Deutsche Post AG
• DPD Deutschland GmbH
• United Parcel Service Deutschland S.à r.l. & Co. OHG (UPS)
• General Logistics Systems Germany GmbH & Co. OHG (GLS)
• Hermes Germany GmbH

13. Gestione dei pagamenti

Pagamento con carta tramite Stripe

In caso di pagamento con carta di credito o con mezzi di pagamento analoghi, la gestione avviene tramite Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irlanda. I dati necessari per il pagamento vengono trasmessi direttamente a Stripe. La base giuridica è l'art. 6, par. 1, lett. b), del GDPR. Ulteriori informazioni sono disponibili nell'informativa sulla privacy di Stripe.

Pagamento tramite PayPal

In caso di pagamento tramite PayPal, la gestione avviene tramite PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, 2449 Lussemburgo. I dati di pagamento vengono trasmessi direttamente a PayPal. La base giuridica è l'art. 6, par. 1, lett. b), del GDPR. Si applicano inoltre le disposizioni sulla protezione dei dati di PayPal.

Pagamento tramite bonifico bancario (pagamento anticipato)

In caso di pagamento tramite bonifico bancario trattiamo i dati necessari alla riconciliazione del pagamento. In tal caso non ha luogo alcuna comunicazione a un prestatore di servizi di pagamento; il pagamento viene effettuato tramite la tua banca.

14. Emissione delle fatture, contabilità e archiviazione

Per adempiere ai nostri obblighi in materia fiscale e di diritto commerciale trattiamo i dati degli ordini e delle fatture nel nostro sistema di contabilità e gestione fiscale (formato DATEV, standard tedesco per la contabilità) e archiviamo le fatture in modo inalterabile e verificabile. L'archiviazione avviene in forma cifrata su uno spazio di memorizzazione gestito da noi o per nostro conto (Nextcloud). La base giuridica è l'art. 6, par. 1, lett. c), del GDPR, in combinato disposto con gli obblighi legali di conservazione.

15. Evasione degli ordini e gestione del magazzino (ERP)

Per l'evasione degli ordini, per la gestione del magazzino e delle giacenze nonché per il controllo delle spedizioni utilizziamo un sistema gestionale (LingXing). I dati relativi agli ordini e alle consegne necessari a tal fine vengono trasmessi a tale sistema. La base giuridica è l'art. 6, par. 1, lett. b) e lett. f), del GDPR (esecuzione del contratto ed efficiente evasione degli ordini).

16. Invio di e-mail (e-mail transazionali)

Nell'ambito della gestione degli ordini inviamo e-mail relative alle transazioni (ad esempio codici di accesso, conferme d'ordine e di spedizione, fatture). La base giuridica è l'art. 6, par. 1, lett. b), del GDPR.

17. Newsletter

Se ti iscrivi alla nostra newsletter, utilizziamo il tuo indirizzo e-mail per inviarti informazioni su prodotti e offerte. L'iscrizione avviene con procedura di doppio opt-in: dopo la tua iscrizione ti inviamo un'e-mail contenente un link di conferma; solo dopo che hai fatto clic su tale link ti inseriamo nella lista di distribuzione. Se ti iscrivi tramite la casella al momento di un ordine, decide il paese di consegna: dove questa procedura è obbligatoria o raccomandata, ad esempio in Germania, Austria e Italia, ti inviamo anche un link di conferma; per gli altri paesi di consegna ti inseriamo direttamente nella lista di distribuzione. La base giuridica è il tuo consenso ai sensi dell'art. 6, par. 1, lett. a), del GDPR.

Per dimostrare il consenso registriamo il momento dell'iscrizione e della conferma, gli indirizzi IP a tal fine utilizzati nonché il testo del consenso. Puoi annullare l'iscrizione alla newsletter in qualsiasi momento, ad esempio tramite il link di annullamento dell'iscrizione presente in fondo a ogni e-mail della newsletter; la revoca del tuo consenso ha effetto per il futuro. Le nostre newsletter misurano aperture e clic; i dettagli e il tuo diritto di opposizione sono indicati alla sezione 17a.

17a. Misurazione delle aperture e dei clic nella newsletter; invio

Misuriamo se e quando le nostre newsletter vengono aperte e su quali link al loro interno si clicca. A tal fine ogni e-mail della newsletter contiene un'immagine invisibile (pixel di tracciamento) e i suoi link recano un identificativo casuale assegnato esclusivamente alla tua iscrizione. Quando il tuo programma di posta carica l'immagine o clicchi su un link, trasmette al nostro server tale identificativo, l'ora, il tuo indirizzo IP e l'identificativo del tuo programma (user agent). Valutiamo l'indirizzo IP e lo user agent soltanto nel momento della richiesta: per distinguere gli accessi automatici (ad esempio il precaricamento da parte della protezione della privacy di Apple Mail o di antivirus) dalle aperture e dai clic reali e per riconoscere il tipo di programma di posta e di dispositivo (ad esempio «Apple Mail» o «mobile»). Viene memorizzato solo questo risultato, non l'indirizzo IP né lo user agent.

Utilizziamo i dati per (1) vedere quanti destinatari aprono una newsletter e su quali contenuti cliccano, e orientare di conseguenza i contenuti e la frequenza di invio, (2) attribuire a tale campagna di newsletter gli ordini che effettui con lo stesso indirizzo e-mail entro 5 giorni da un clic in una newsletter e (3) contrassegnare la tua iscrizione come «inattiva» se hai ricevuto almeno tre newsletter e per 90 giorni non ne hai aperta né cliccata nessuna, per poi scriverti meno spesso o non più. Non ne ricaviamo profili per pubblicità al di fuori delle nostre newsletter e non trasmettiamo i dati a terzi.

La base giuridica è l'art. 6, par. 1, lett. f), del GDPR. Il nostro legittimo interesse consiste nel misurare l'effetto delle nostre newsletter, migliorarle e non inviarle a destinatari che non le leggono più. Puoi opporti alla misurazione in qualsiasi momento (art. 21 del GDPR): tramite il link «Disattiva il tracciamento» presente in ogni e-mail della newsletter oppure scrivendo a support@puzzlepotato.com. Continuerai a ricevere la newsletter, senza pixel di tracciamento e senza link personalizzati; cancelliamo le aperture e i clic registrati fino a quel momento. Anche l'annullamento dell'iscrizione alla newsletter pone fine alla misurazione.

Cancelliamo i singoli eventi di apertura e di clic dopo 180 giorni; successivamente conserviamo soltanto dati aggregati per campagna, non riferiti a te, e la data della tua ultima attività finché la tua iscrizione è attiva. Dopo l'annullamento dell'iscrizione o un'opposizione cancelliamo i tuoi eventi entro 30 giorni.

I link delle nostre newsletter che portano al nostro negozio recano inoltre un identificativo di campagna uguale per tutti i destinatari (ad es. utm_campaign); ai sensi della sezione 8, ciò ci consente di vedere quante visite e quanti ordini sono giunti complessivamente tramite una campagna. Il nostro fornitore di invio ci segnala inoltre le e-mail non recapitabili e i reclami per spam, e rimuoviamo tali indirizzi dalla lista di distribuzione. Anche in questo caso la base giuridica è l'art. 6, par. 1, lett. f), del GDPR; il nostro legittimo interesse consiste in una lista di distribuzione aggiornata e recapitabile.

Invio: inviamo la newsletter tramite Amazon Simple Email Service (SES) di Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Lussemburgo, dal suo centro dati di Francoforte sul Meno (regione eu-central-1). AWS tratta il tuo indirizzo e-mail e il contenuto delle e-mail della newsletter per nostro conto, sulla base di un contratto di trattamento dei dati (art. 28 del GDPR). I pixel di tracciamento e i link passano attraverso i nostri server, non attraverso AWS. Non si può escludere del tutto un accesso da parte della società madre statunitense Amazon Web Services, Inc.; un tale trasferimento si basa in tal caso sulla decisione di adeguatezza relativa all'EU-US Data Privacy Framework (art. 45 del GDPR), nell'ambito del quale Amazon Web Services, Inc. è certificata, e in via integrativa sulle clausole contrattuali tipo dell'UE contenute nel contratto di trattamento dei dati di AWS.

18. Contatti

Se ci contatti via e-mail o tramite un modulo di contatto, trattiamo i dati da te comunicati per dare seguito alla tua richiesta. La base giuridica è l'art. 6, par. 1, lett. b), del GDPR (qualora la richiesta riguardi un contratto) ovvero l'art. 6, par. 1, lett. f), del GDPR. Conserviamo la corrispondenza con il nostro servizio clienti per poter ricostruire richieste precedenti, esaminare casi di garanzia e di cortesia commerciale e rispondere meglio a richieste simili (art. 6, par. 1, lett. f), del GDPR); le e-mail commerciali devono comunque essere conservate per sei anni (§ 257 HGB, § 147 AO). La cancelliamo al più tardi sei anni dopo la fine dell'anno civile in cui l'e-mail in questione è stata ricevuta o inviata, salvo che sia ancora necessaria per un procedimento in corso o per un accertamento fiscale non ancora definitivo. I tuoi diritti di cui al punto 20, ad esempio alla cancellazione, restano invariati.

Per le e-mail inviate al nostro servizio clienti utilizziamo un assistente di intelligenza artificiale: Claude di Anthropic PBC (Stati Uniti), in qualità di responsabile del trattamento (art. 28 del GDPR). Traduce le e-mail scritte in altre lingue e propone ai nostri collaboratori risposte alle richieste dei clienti privati. Ogni risposta viene letta e inviata da una persona; non viene presa alcuna decisione automatizzata ai sensi dell'art. 22 del GDPR.

Per proporre una risposta l'assistente riceve il contenuto delle tue e-mail e della nostra corrispondenza precedente, il tuo nome, le foto che ci invii e, se presenti, i tuoi ordini presso di noi (numero, data, articoli, importo, stato della spedizione e tracciamento), nonché lo stato di iscrizione alla newsletter dei tuoi indirizzi e-mail con i tuoi codici sconto. Per rispondere meglio a richieste simili può prendere ad esempio precedenti conversazioni del nostro servizio clienti. Per una traduzione riceve soltanto l'oggetto e il testo dell'e-mail in questione.

La base giuridica è l'art. 6, par. 1, lett. b), del GDPR qualora la tua richiesta riguardi un contratto, altrimenti l'art. 6, par. 1, lett. f), del GDPR; il nostro legittimo interesse consiste nel rispondere alle richieste in modo rapido, completo e nella tua lingua. Il trasferimento negli Stati Uniti si fonda sulle clausole contrattuali tipo della Commissione europea (art. 46, par. 2, lett. c), del GDPR), che fanno parte del nostro accordo di nomina a responsabile del trattamento con Anthropic; puoi richiederne una copia. Anthropic non utilizza i dati per addestrare i propri modelli e li cancella entro 30 giorni, a meno che i suoi sistemi non rilevino una violazione delle sue regole di utilizzo; in tal caso li conserva fino a due anni.

18a. Idee e opinioni

Nella parte superiore del piè di pagina di ogni pagina puoi inviarci, senza account cliente, idee per nuovi rompicapi e la tua opinione sui nostri. Insieme al tuo testo salviamo solo il momento in cui è arrivato, ma non il tuo nome, il tuo indirizzo e-mail, il tuo indirizzo IP né altre informazioni su di te o sul tuo dispositivo. Non possiamo quindi collegare un invio ad alcuna persona, a meno che tu non scriva dati personali nel testo; ti chiediamo di non farlo. Alla richiesta in sé si applica il punto 2 (file di log del server), alla protezione dai bot il punto 19 (Cloudflare Turnstile).

Utilizziamo gli invii per sviluppare i nostri rompicapi e la nostra gamma. Se un testo contiene comunque dati personali, la base giuridica è l'art. 6, par. 1, lett. f) del GDPR; il nostro legittimo interesse consiste nello sviluppo dei nostri prodotti. Conserviamo gli invii finché sono necessari per questa finalità.

19. Hosting e distribuzione (Cloudflare)

Il nostro sito web e i relativi sistemi sono ospitati presso un fornitore situato all'interno dell'Unione europea. Con tale fornitore è stato stipulato un accordo di nomina a responsabile del trattamento ai sensi dell'art. 28 del GDPR. Il trattamento avviene per la messa a disposizione della nostra offerta online ai sensi dell'art. 6, par. 1, lett. f), del GDPR.

Distribuzione e protezione tramite Cloudflare

Il nostro sito web viene distribuito tramite la rete di Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA («Cloudflare»). Ogni richiesta passa attraverso server di Cloudflare, che proteggono la nostra offerta dagli attacchi (ad esempio attacchi di sovraccarico) e memorizzano nella cache contenuti come le immagini, affinché si carichino più rapidamente. A tal fine Cloudflare tratta i dati tecnici di ogni richiesta, in particolare il tuo indirizzo IP, l'indirizzo richiesto, l'orario e l'identificativo del tuo browser, e ricava dall'indirizzo IP la tua posizione approssimativa (paese, regione e città), che trasmette ai nostri server; l'uso che ne facciamo è descritto al punto 4.

Per l'accesso al tuo account cliente, l'iscrizione alla newsletter, la candidatura come cliente business e l'invio di un'idea (punto 18a) utilizziamo inoltre Cloudflare Turnstile, per riconoscere gli inserimenti automatizzati (bot). Lo script di Turnstile viene caricato solo quando viene visualizzato uno di questi moduli e, per il campo delle idee, solo quando inizi a scriverci; in tale occasione vengono trasmessi a Cloudflare, in particolare, il tuo indirizzo IP, l'identificativo del tuo browser e caratteristiche tecniche della connessione.

La base giuridica è l'art. 6, par. 1, lett. f), del GDPR; il nostro legittimo interesse consiste nel mettere a disposizione la nostra offerta in modo sicuro, rapido e protetto dagli abusi. Nella misura in cui Turnstile accede a informazioni presenti sul tuo dispositivo, ciò è strettamente necessario per fornire in modo sicuro il servizio da te richiesto (§ 25, comma 2, n. 2, TDDDG). Cloudflare tratta i dati per nostro conto sulla base di un accordo di nomina a responsabile del trattamento (art. 28 del GDPR). I dati possono essere trasferiti a Cloudflare, Inc. negli Stati Uniti; il trasferimento si fonda sulla decisione di adeguatezza della Commissione europea relativa all'EU-US Data Privacy Framework (art. 45 del GDPR), rispetto al quale Cloudflare è certificata (per il Regno Unito e la Svizzera si applicano rispettivamente la UK Extension e lo Swiss-U.S. DPF), nonché, in via integrativa, sulle clausole contrattuali tipo dell'UE. Ulteriori informazioni: https://www.cloudflare.com/privacypolicy/.

20. I tuoi diritti

Ai sensi del GDPR ti spettano i seguenti diritti:

• accesso ai dati memorizzati che ti riguardano (art. 15 del GDPR)
• rettifica dei dati inesatti (art. 16 del GDPR)
• cancellazione dei tuoi dati (art. 17 del GDPR)
• limitazione del trattamento (art. 18 del GDPR)
• portabilità dei dati (art. 20 del GDPR)
• opposizione al trattamento (art. 21 del GDPR)
• revoca di un consenso prestato, con effetto per il futuro (art. 7, par. 3, del GDPR)

Per esercitare i tuoi diritti è sufficiente una comunicazione in forma libera ai recapiti sopra indicati.

21. Diritto di proporre reclamo all'autorità di controllo

Hai il diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati in merito al trattamento dei tuoi dati personali da parte nostra (art. 77 del GDPR). L'autorità competente nei nostri confronti è il Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) (autorità di controllo bavarese per la protezione dei dati).