Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento dei dati su questo sito è:
Tim Schneider
TradeDay&Night (Einzelunternehmen)
Cranachstr. 2
64546 Mörfelden-Walldorf
Germania
kontakt@tradedaynight.de

Non è stato nominato un responsabile della protezione dei dati. Le soglie di legge del § 38 BDSG (legge federale tedesca sulla protezione dei dati) non vengono raggiunte.

2. Quali dati trattiamo

Nella gestione della piattaforma vengono trattati i seguenti dati:

• Dati dell'account: indirizzo e-mail, nome utente, password (conservata solo come valore hash), momento della registrazione e dell'accesso. Il nome utente lo scegli tu al momento della registrazione (da 3 a 20 caratteri, modificabile al massimo ogni 30 giorni). È visibile pubblicamente – per esempio sul tuo tavolo, nelle valutazioni e in chat –, perciò non dovrebbe contenere né il tuo nome completo né dati di contatto. La tua data di nascita la chiediamo alla registrazione solo per verificare che tu sia maggiorenne; salviamo soltanto il momento di questa conferma, non la data.
• Accesso con Google o Apple: Se accedi con il tuo account Google, Google ci trasmette il tuo indirizzo e-mail, il tuo nome e un identificativo del tuo account Google; con questi creiamo il tuo account o ti facciamo accedere. La tua password di Google non la conosciamo. Il fornitore è Google Ireland Limited (Irlanda); è possibile una trasmissione a Google LLC (USA). L'accesso con Apple (Apple Distribution International Ltd., Irlanda) lo offriremo non appena sarà attivato; lì potrai nascondere il tuo indirizzo e-mail. La base giuridica è l'esecuzione del contratto di utilizzo (art. 6, par. 1, lett. b) del GDPR).
• Dati del profilo: stato di venditore, stato dell'abbonamento, recensioni.
• Contenuti: annunci, foto dei prodotti, messaggi in chat, proposte di prezzo e di scambio tra utenti. Se qualcuno cambia il prezzo di una carta, mette in vendita una nuova carta o ne elimina una, salviamo il titolo della carta, il prezzo – per una modifica quello vecchio e quello nuovo, per una carta eliminata l'ultimo –, chi l'ha fatto e quando; può vederlo solo il titolare del tavolo. Dopo dodici mesi cancelliamo automaticamente queste voci.
• Chat e loro conservazione: Messaggi, offerte e immagini nella chat di una richiesta li vedono solo le parti coinvolte – dal lato del venditore anche i collaboratori da lui autorizzati. Con «Nascondi per me» togli una chat conclusa dal tuo elenco. Le chat senza acquisto pagato le cancelliamo non appena tutte le parti coinvolte le hanno nascoste, altrimenti sette giorni dopo la loro fine. In caso di acquisto pagato cancelliamo il contenuto della chat (messaggi e immagini) dodici mesi dopo l'ultima modifica dell'ordine; richiesta, ordine, valutazione e la riga con l'offerta accettata restano come documentazione. Finché un problema o una controversia è aperto o una segnalazione sulla chat non è ancora stata decisa, non cancelliamo nulla. La base giuridica è l'art. 6, par. 1, lett. b) del GDPR (svolgimento dell'affare) e lett. f) del GDPR (prova in caso di storni e pretese derivanti dall'acquisto). Si considera conclusa anche una chat senza acquisto in cui per 30 giorni non è successo nulla; annunciamo prima la cancellazione nella chat. Dei nuovi messaggi, offerte e richieste in chat ti informiamo inoltre via e-mail. Puoi disattivare queste e-mail in qualsiasi momento, in «Il mio account» → «Notifiche» oppure tramite il link presente in ognuna di esse; a questo scopo conserviamo per ogni account un identificativo casuale, che cancelliamo insieme all'account. Le notifiche nell'app non ne sono toccate, e le e-mail su ordini, pagamenti, scadenze e sicurezza del tuo account continuerai a riceverle.
• Foto e video: Durante il caricamento riduciamo le foto e rimuoviamo i dati incorporati come fotocamera, ora dello scatto e luogo di ripresa; dai video rimuoviamo il luogo di ripresa. Foto e video delle tue carte sono visibili pubblicamente finché la carta è in vendita.
• Indirizzo di spedizione: nome, cognome, via, numero civico, CAP, città e paese. Questi dati vengono mostrati all'altra parte contrattuale solo quando un affare è stato confermato in modo vincolante e pagato – prima non sono visibili alla controparte. Non chiediamo un numero di telefono e non ne salviamo nessuno finché non offriamo etichette di spedizione; i numeri indicati in passato facoltativamente li abbiamo cancellati.
• Dati dell'ordine e del pagamento: numero d'ordine, importo, spese di spedizione, aliquota di provvigione, stato dell'ordine, momenti del pagamento, della spedizione e della conferma di ricezione nonché l'identificativo del pagamento presso il gestore dei pagamenti. I dati della carta di credito, del conto e dei documenti d'identità non vengono trattati da noi, ma esclusivamente dal gestore dei pagamenti Stripe; noi non li vediamo in nessun momento.
• Metodi di pagamento all'acquisto: Il pagamento avviene sulla pagina di pagamento di Stripe. Quali metodi di pagamento compaiono lì dipende dal tuo paese, dall'importo e dal tuo dispositivo: carta, Apple Pay, Google Pay, Link (dati di pagamento salvati presso Stripe), bonifico bancario, iDEAL, Bancontact, EPS, Przelewy24, Revolut Pay, Amazon Pay, MobilePay, MB WAY, Multibanco e Satispay. Inserisci i tuoi dati di pagamento direttamente presso Stripe o presso il servizio interessato; noi vediamo solo importo, momento, metodo di pagamento e identificativo del pagamento. A seconda del metodo di pagamento trattano inoltre i dati sotto la propria responsabilità: i circuiti delle carte e la tua banca; Apple o Google per l'autorizzazione sul tuo dispositivo (Apple Pay, Google Pay); per Revolut Pay, Amazon Pay, MobilePay, MB WAY e Satispay il rispettivo fornitore; per iDEAL, Bancontact, EPS, Przelewy24, Multibanco e il bonifico bancario la tua banca e il gestore del circuito. Si applicano le rispettive informative sulla privacy. La base giuridica è l'art. 6, par. 1, lett. b) GDPR. Se Stripe ti offre PayPal, anche PayPal (Europe) S.à r.l. et Cie, S.C.A. (Lussemburgo) tratta i tuoi dati sotto la propria responsabilità.
• Storni: Se un acquirente fa stornare un pagamento dalla propria banca, trasmettiamo al gestore dei pagamenti Stripe prove tratte dall'ordine, che Stripe inoltra alla banca dell'acquirente: numero d'ordine, tipo di ordine e titoli delle carte, nome del tavolo con l'indicazione se si vende come privato o come professionista, nomi utente del venditore e dell'acquirente su TradeDay&Night, importo e data del pagamento, corriere, numero di tracciamento e data di spedizione, CAP e paese dell'indirizzo di consegna, se e quando è stata confermata la ricezione, e la cronologia dell'ordine (pagamento, spedizione, ricezione, problemi segnalati, rimborsi). Se ciò non basta, in singoli casi aggiungiamo altre prove dall'ordine, ad esempio un estratto della sua chat. La base giuridica è il nostro legittimo interesse e quello del venditore a respingere storni ingiustificati (art. 6, par. 1, lett. f) del GDPR).
• Saldi dei conti per gli incassi dei venditori: Una volta al giorno leggiamo presso Stripe il saldo di ogni conto per gli incassi dei venditori – importo, valuta e se l'addebito diretto per un saldo negativo è attivo – e salviamo nell'account del venditore solo l'ultimo stato; è visibile solo a noi. Così riconosciamo un saldo negativo, ad esempio dopo uno storno, e possiamo richiedere gli importi scoperti. Durante l'allineamento del conto per gli incassi salviamo inoltre il paese e la valuta del conto bancario collegato e se Stripe può compensare un saldo negativo con addebito diretto; da questo dipende il periodo di attesa prima del versamento (7 o 30 giorni). La base giuridica è l'art. 6, par. 1, lett. b) e lett. f) del GDPR.
• Età minima dei venditori: A ogni allineamento del conto per gli incassi di un venditore verifichiamo se Stripe registra il titolare del conto come minorenne: in base alla data di nascita, se Stripe ce la trasmette, e al fatto che Stripe richieda o abbia registrato un tutore legale. Salviamo solo il risultato, non la data di nascita. Se il titolare ha meno di 18 anni, l'apertura di un tavolo e la vendita restano bloccate, perché TradeDay&Night si può usare solo dai 18 anni. La base giuridica è l'art. 6, par. 1, lett. b) e lett. f) del GDPR.
• Crediti aperti e recupero crediti: Se dopo uno storno un utente ci deve un importo, salviamo il credito con account, ordine, importo, commissione, motivo e stato. Se resta insoluto, possiamo affidarlo a un'agenzia di recupero crediti insieme ai dati necessari a tale scopo – nome, indirizzo, indirizzo e-mail, ordine e importo; ciò avviene solo in presenza di un credito aperto. La base giuridica è il nostro legittimo interesse a far valere i nostri crediti (art. 6, par. 1, lett. f) del GDPR). I dati del credito li conserviamo come gli altri dati di ordini e pagamenti (sezione 6).
• Documenti per una denuncia nello scambio parziale: Se in uno scambio parziale un venditore non restituisce nei termini le carte dell'acquirente, mettiamo a disposizione dell'acquirente i documenti per una denuncia. Oltre ai dati dell'ordine, contengono il nome e l'indirizzo del venditore – l'indirizzo di spedizione già reso visibile all'acquirente per lo scambio parziale – e, per i venditori professionali, i dati del venditore. La base giuridica è il legittimo interesse dell'acquirente a riavere le sue carte e a denunciare l'accaduto (art. 6, par. 1, lett. f) del GDPR). Alle autorità inquirenti comunichiamo questi dati su richiesta (art. 6, par. 1, lett. c) o lett. f) del GDPR).
• Posizione approssimativa: All'apertura di una pagina il nostro hoster Vercel ricava dal tuo indirizzo IP il tuo paese e una posizione approssimativa (all'incirca a livello di città) e trasmette entrambi ai nostri server. Utilizziamo queste indicazioni soltanto per mostrare fiere e tavoli dei venditori in ordine di vicinanza e per dirti se un tavolo spedisce nel tuo paese. Se hai effettuato l'accesso e hai salvato un indirizzo di spedizione, utilizziamo invece il paese di quell'indirizzo. Le indicazioni non vengono conservate, non vengono collegate al tuo account e non vengono comunicate a terzi; non viene mostrato né nascosto nulla, cambia solo l'ordine. La base giuridica è il nostro legittimo interesse a una presentazione chiara e adatta a te (art. 6, par. 1, lett. f) del GDPR). Inoltre scegliamo la lingua in base a questo paese quando apri un indirizzo senza indicazione della lingua e né una lingua scelta in precedenza né l'impostazione della lingua del tuo browser corrisponde a una delle nostre lingue.
• Dati fiscali dei venditori: I venditori inseriscono nome, indirizzo, data di nascita o numero di iscrizione al registro delle imprese, codice fiscale, eventualmente la partita IVA e, su base volontaria, le proprie coordinate bancarie. In base alla legge tedesca sulla trasparenza fiscale delle piattaforme (PStTG, direttiva UE DAC7), i gestori di piattaforme devono comunicare una volta all'anno all'Ufficio centrale federale delle imposte tedesco (BZSt) i venditori, il numero delle loro vendite, i ricavi e le commissioni trattenute; il BZSt può trasmettere i dati alle autorità fiscali di altri Stati dell'UE. Viene segnalato solo chi raggiunge le soglie di legge (30 vendite o più di 2.000 € all'anno). Se i dati mancano quando un venditore diventa soggetto a comunicazione, li richiediamo e mandiamo due promemoria (dopo 20 e 40 giorni); se dopo 60 giorni non ci sono ancora, le nuove vendite restano sospese finché non arrivano (§ 22 PStTG). Verifichiamo un numero di partita IVA indicato – dei venditori e, per gli acquisti effettuati per un'azienda, anche degli acquirenti – nel sistema di scambio di informazioni sull'IVA (VIES) della Commissione europea; viene trasmesso solo il numero e la risposta indica se è valido e, se del caso, il nome registrato per esso. La base giuridica è l'art. 6, par. 1, lett. c) del GDPR. I dati vengono conservati per dieci anni, come prescrive la legge. I venditori senza dati fiscali possono indicare facoltativamente nel proprio conto per gli incassi un indirizzo di fatturazione (nome o ragione sociale e indirizzo), affinché le loro ricevute delle provvigioni ricevano un numero (art. 6, par. 1, lett. b) del GDPR); può essere rimosso in qualsiasi momento e viene cancellato insieme all'account, mentre le ricevute già emesse vengono conservate come le fatture.
• Venditori privati – conteggio, pausa di verifica e autodichiarazione: Per i tavoli gestiti come privati contiamo, per ogni anno solare, le vendite pagate e il loro totale. A partire da 20 vendite o 1.500 € lo segnaliamo; a partire da 30 vendite o 2.000 € le nuove vendite restano sospese finché il venditore non ha inserito i suoi dati fiscali completi e risposto a un'autodichiarazione (per esempio: compri in modo mirato per rivendere? Vendi merce nuova?). A tale scopo analizziamo anche le carte del suo tavolo – quante volte compare la stessa carta e quanta merce sigillata c'è. Se le risposte non destano sospetti, la pausa termina automaticamente; altrimenti il caso lo esamina una persona. La pausa nasce automaticamente ed è provvisoria; un blocco lo decide sempre una persona. Puoi chiedere in qualsiasi momento, tramite il modulo di contatto, che il caso venga esaminato da una persona. Conserviamo conteggio, risposte e decisione fino alla fine del terzo anno successivo all'anno solare interessato. Non è prevista alcuna comunicazione all'ufficio delle imposte. La base giuridica è il nostro legittimo interesse, e quello degli acquirenti, a che nessuno si presenti come privato pur agendo come professionista (art. 6, par. 1, lett. f) del GDPR).
• Registrazioni ai sensi del § 22f della legge tedesca sull'IVA: Per ogni vendita su TradeDay&Night registriamo quanto richiesto dal § 22f della legge tedesca sull'imposta sul valore aggiunto (UStG): nome e indirizzo del venditore (per i venditori privati anche la data di nascita, per i professionisti l'indirizzo e-mail e la partita IVA), codice fiscale e coordinate bancarie se noti, il paese di spedizione, il paese, il CAP e la località di consegna, data e importo, le carte vendute e il numero d'ordine. Se un venditore modifica i suoi dati di venditore o i dati fiscali o elimina l'account, conserviamo la versione precedente nella misura in cui serve a vendite precedenti. Conserviamo queste registrazioni per dieci anni e le forniamo in formato elettronico all'amministrazione finanziaria su richiesta (§ 22f comma 4 UStG; art. 6, par. 1, lett. c) GDPR). Chi viene segnalato ai sensi della legge tedesca sulla trasparenza fiscale delle piattaforme viene informato entro il 31 gennaio dell'anno successivo, via e-mail e nell'area venditore, su quanto abbiamo segnalato. I venditori possono scaricare le loro vendite come tabella; contiene il nome utente dell'acquirente e il paese, il CAP e la località di consegna, che ricevono comunque per la spedizione.
• Dati del venditore dei venditori professionali: I venditori professionali devono indicare agli acquirenti nome o ragione sociale, indirizzo e dati di contatto (§ 312l BGB, art. 246d EGBGB). Questi dati si trovano su una pagina apposita del tavolo. L'indirizzo e-mail compare solo dopo un clic; a tale scopo contiamo le visualizzazioni per visitatore – con accesso effettuato tramite l'identificativo utente, altrimenti tramite una chiave non reversibile ricavata dall'indirizzo IP – e cancelliamo questo conteggio dopo due giorni, affinché nessuno possa raccogliere gli indirizzi in automatico. Il numero di telefono lo mostriamo solo se il venditore lo ha espressamente autorizzato. Con ogni ordine registriamo i dati così come valevano al momento dell'acquisto. La base giuridica è l'art. 6, par. 1, lett. c) del GDPR, per il limite di quantità la lett. f).
• Lista d'attesa per altri paesi: Se ti iscrivi alla lista d'attesa per un paese in cui i conti venditore non sono ancora possibili, salviamo nel tuo account il paese, la lingua della pagina e il momento. Non appena lì i conti venditore saranno possibili, ti scriviamo un'e-mail all'indirizzo del tuo account; 30 giorni dopo questa e-mail cancelliamo l'iscrizione. Puoi uscire dalla lista d'attesa in qualsiasi momento nello stesso punto, e con il tuo account viene cancellata anche l'iscrizione. La base giuridica è il tuo consenso (art. 6, par. 1, lett. a) del GDPR), che revochi uscendo dalla lista d'attesa.
• Lista di lancio: Se ti iscrivi alla lista di lancio prima dell'apertura, salviamo il tuo indirizzo e-mail, la lingua della pagina, la versione del testo di consenso e i momenti di iscrizione e conferma, sulla base del tuo consenso (art. 6, par. 1, lett. a, GDPR). Prima ricevi un'e-mail di conferma; senza conferma cancelliamo l'iscrizione dopo 7 giorni. Al lancio ti inviamo una sola e-mail e poi cancelliamo l'indirizzo. Puoi disiscriverti in qualsiasi momento tramite il link nell'e-mail di conferma; in questo modo revochi il consenso. Per prevenire abusi contiamo le iscrizioni per indirizzo e per indirizzo IP, come descritto nei limiti contro gli abusi. Le e-mail vengono inviate tramite Resend.
• Suggerimenti e verifica dell'indirizzo: Quando inserisci l'indirizzo di spedizione, ti suggeriamo indirizzi corrispondenti e al salvataggio verifichiamo se l'indirizzo esiste. A tal fine il nostro server invia il testo dell'indirizzo inserito – senza il tuo nome e senza il tuo indirizzo IP – a Photon, un servizio di indirizzi di komoot GmbH (Germania) basato sui dati cartografici aperti di OpenStreetMap. Non conserviamo queste richieste. La base giuridica è l'esecuzione del contratto, di cui fa parte un indirizzo a cui sia possibile consegnare (art. 6, par. 1, lett. b) del GDPR), e il nostro legittimo interesse a spedizioni prive di errori (art. 6, par. 1, lett. f) del GDPR).
• Protezione dalle richieste automatiche: Nei moduli di accesso, registrazione, reimpostazione della password, contatto, riscatto di buoni, invio di proposte e disdetta di contratti, il nostro fornitore di hosting Vercel (BotID) verifica se a inviarli è una persona. A tale scopo vengono analizzate caratteristiche tecniche del tuo browser e il tuo indirizzo IP; non vengono creati cookie pubblicitari o di analisi. La base giuridica è il nostro legittimo interesse a proteggere la piattaforma e i suoi utenti da abusi come tentativi di accesso in massa e spam (art. 6, par. 1, lett. f) del GDPR). Nei moduli di accesso, registrazione, reimpostazione della password, contatto e segnalazione di contenuti utilizziamo inoltre Cloudflare Turnstile (vedi sezione 4). Una casella da spuntare compare solo se sospettiamo una richiesta automatizzata – per esempio dopo molti tentativi falliti.
• Limiti di quantità contro gli abusi: Per proteggere account e caselle di posta da tentativi in massa, contiamo gli accessi non riusciti nonché registrazioni, richieste di reimpostazione della password, messaggi di contatto, segnalazioni senza account e riscatti di buoni – ciascuno per indirizzo e-mail o account e per indirizzo IP. A tale scopo non memorizziamo né l'indirizzo né l'indirizzo IP stesso, ma solo un valore di controllo (HMAC) generato con la nostra chiave, che senza questa chiave non si può ricostruire; viene cancellato al più tardi dopo un giorno, i tentativi falliti di un indirizzo già al successivo accesso riuscito. Se si raggiunge un limite, chiediamo una breve conferma o un po' di pazienza. La base giuridica è il nostro legittimo interesse a proteggere la piattaforma e i suoi utenti dagli abusi (art. 6, par. 1, lett. f) del GDPR).
• Filtro automatico della chat e avvertimenti: Prima dell'invio la chat controlla automaticamente i messaggi alla ricerca di numeri di telefono, indirizzi e-mail, indirizzi postali, contatti su altri servizi e link esterni – così proteggiamo acquirenti e venditori dalle truffe fuori dalla piattaforma. I casi evidenti non vengono recapitati e comportano un avvertimento; i casi dubbi semplicemente non vengono recapitati. Dopo tre avvertimenti in 30 giorni la chat viene bloccata per 30 giorni; consultare, acquistare e portare avanti gli ordini in corso restano possibili. Conserviamo l'avvertimento, il momento e il motivo. Questo blocco nasce automaticamente: tramite il modulo di contatto puoi chiedere in qualsiasi momento che lo esamini una persona, esporre il tuo punto di vista e contestarlo; se non era giustificato, lo revochiamo. La base giuridica è il nostro legittimo interesse a una gestione sicura e priva di abusi della piattaforma (art. 6, par. 1, lett. f) del GDPR).
• Segnalazioni di contenuti: Chi segnala un contenuto tramite «Segnala» ci trasmette il motivo, una descrizione, facoltativamente un indirizzo e-mail e – se ha effettuato l'accesso – fino a cinque immagini come prova; la segnalazione di chi ha effettuato l'accesso è collegata al suo account; per una segnalazione da una chat consultiamo la cronologia della chat interessata. Decidiamo sulla segnalazione e comunichiamo la decisione motivata a chi ha segnalato e alla persona interessata (artt. 16 e 17 del Digital Services Act). Conserviamo la segnalazione come prova della decisione; cancelliamo le immagini sei mesi dopo la decisione, una volta scaduto il termine per un reclamo. La base giuridica è l'art. 6, par. 1, lett. c) GDPR in combinato disposto con il Digital Services Act, nonché il nostro legittimo interesse a una piattaforma sicura (lett. f).
• Blocco: Se blocchi un account, memorizziamo chi ha bloccato chi, affinché tra voi non nascano nuove richieste e nuovi messaggi. Gli ordini in corso vengono comunque portati a termine. Il blocco vale finché non lo revochi o finché uno dei due account non viene eliminato. La base giuridica è l'art. 6, par. 1, lett. b) e f) del GDPR.
• Modulo di contatto ed e-mail: Se ci scrivi tramite il modulo di contatto, trattiamo nome, indirizzo e-mail e messaggio per risponderti. Il messaggio ci arriva tramite il nostro servizio di invio e-mail (Resend) come e-mail nella nostra casella di posta presso Google (Gmail). Conserviamo la corrispondenza per il tempo necessario alla tua richiesta e oltre solo se esiste un obbligo legale di conservazione (per esempio per le lettere commerciali ai sensi del § 257 HGB, codice commerciale tedesco). La base giuridica è l'art. 6, par. 1, lett. b) o lett. f) del GDPR.
• Disdetta tramite «Disdici i contratti qui»: Per una disdetta tramite il pulsante di disdetta (§ 312k BGB) trattiamo nome, indirizzo e-mail, il contratto disdetto, il tipo di disdetta, eventualmente il suo motivo e il momento, e confermiamo la disdetta via e-mail. Conserviamo la disdetta come prova finché le pretese derivanti dal contratto non sono prescritte (tre anni dalla fine dell'anno della disdetta). La base giuridica è l'art. 6, par. 1, lett. c) del GDPR in combinato disposto con il § 312k BGB.
• App e notifiche: Nella nostra app per Android e iOS valgono le stesse regole del sito web. Se consenti le notifiche, memorizziamo per ogni dispositivo un identificativo per le notifiche (push token), il sistema operativo e la lingua dell'app, per segnalarti per esempio nuovi messaggi o pagamenti ricevuti. Le notifiche passano tramite Firebase Cloud Messaging di Google (Google Ireland Limited; è possibile un trattamento negli USA). Cancelliamo l'identificativo quando esci dall'account, quando Google lo segnala come non valido o quando elimini il tuo account. La base giuridica è il tuo consenso (art. 6, par. 1, lett. a) del GDPR, § 25, comma 1 TDDDG), che puoi revocare in qualsiasi momento nelle impostazioni del tuo dispositivo. Gli abbonamenti non li vendiamo nell'app. Se nell'app si verifica un errore o se si chiude in modo anomalo, lo segnala al nostro registro degli errori, solo con la versione dell'app, il sistema operativo, la schermata interessata e il messaggio di errore, senza il tuo account e senza contenuti. Per questo l'app ricorda sul tuo dispositivo se l'ultima volta è stata chiusa correttamente. La base giuridica è il nostro legittimo interesse a un'app senza errori (art. 6, par. 1, lett. f) del GDPR, § 25, comma 2, n. 2 TDDDG).
• Link di affiliazione ad Amazon: Alcuni consigli sugli accessori per le fiere rimandano ad Amazon con il nostro codice partner. Prima che tu clicchi su un link di questo tipo, Amazon non riceve da noi alcun dato. Dopo il clic valgono l'informativa sulla privacy e i cookie di Amazon; se acquisti lì, riceviamo una provvigione senza sapere chi ha acquistato. La base giuridica è il nostro legittimo interesse al finanziamento della piattaforma (art. 6, par. 1, lett. f) del GDPR).
• Backup e log: Eseguiamo ogni giorno un backup del nostro database in uno spazio di archiviazione non pubblico del nostro fornitore di database Supabase nell'UE; ogni backup lo cancelliamo dopo 14 giorni. Il nostro fornitore di hosting Vercel registra all'apertura delle pagine dati tecnici (indirizzo IP, momento, indirizzo richiamato, identificativo del browser) per un funzionamento sicuro e per la ricerca degli errori, e li cancella dopo poco tempo. Gli errori sui nostri server li registriamo in un nostro log degli errori – senza indirizzo IP e senza contenuti dei moduli, solo indirizzo, tipo e messaggio dell'errore – per correggerli; un errore corretto lo cancelliamo dal log 90 giorni dopo. La base giuridica è il nostro legittimo interesse a un funzionamento sicuro e disponibile (art. 6, par. 1, lett. f) del GDPR). [Inserire il termine di cancellazione dei log dei server presso Vercel (a seconda del piano)]

Accesso in caso di controversia: Se una delle parti segnala una controversia prima della liberazione del pagamento, prendiamo visione della relativa cronologia della chat e dei dati dell'ordine per decidere sul rimborso o sulla liberazione. Senza una controversia segnalata non leggiamo alcuna chat. La base giuridica è l'art. 6, par. 1, lett. b) e lett. f) del GDPR.

Lista di collezione: Se crei una lista di collezione, salviamo il suo nome e le carte che contiene con set, numero, lingua, condizione, quantità, il tuo prezzo massimo, la tua nota e se le hai spuntate, nel tuo account, affinché sito e app mostrino la stessa lista (art. 6, par. 1, lett. b) del GDPR). L'app conserva una copia sul tuo dispositivo, così la lista funziona anche senza rete; quando esci dall'account viene cancellata da lì. Se crei un link di sola lettura, chiunque abbia il link vede il nome della lista e le carte, senza prezzo massimo, nota né account. Puoi revocare il link in qualsiasi momento. Le liste le cancelli tu; con l'eliminazione del tuo account vengono cancellate tutte le liste di collezione.

3. Basi giuridiche

Il trattamento avviene per l'esecuzione del contratto di utilizzo (art. 6, par. 1, lett. b) del GDPR), per l'adempimento di obblighi di legge (art. 6, par. 1, lett. c) del GDPR) nonché sulla base del nostro legittimo interesse a una gestione sicura della piattaforma (art. 6, par. 1, lett. f) del GDPR).

4. Fornitori di servizi impiegati

Impieghiamo i seguenti fornitori di servizi. Con i responsabili del trattamento è in essere in ciascun caso un contratto ai sensi dell'art. 28 del GDPR.

• Vercel (Vercel Inc., USA) – hosting del sito. Le funzioni server di questo progetto girano nella regione di Dublino, Irlanda (dub1). Responsabile del trattamento. [Confermare il contratto di responsabile del trattamento – nella dashboard di Vercel sotto Settings, Legal]
• Supabase (Supabase Inc., USA) – banca dati, account utente, archiviazione dei file e aggiornamento in tempo reale della chat. I dati si trovano nella regione eu-west-1 (Irlanda). Responsabile del trattamento. [Confermare il contratto di responsabile del trattamento – nelle impostazioni dell'organizzazione di Supabase]
• Resend (Resend, Inc., USA) – invio delle e-mail di notifica. Vengono trasmessi l'indirizzo e-mail e il contenuto del rispettivo messaggio. Responsabile del trattamento; il trattamento avviene negli USA. [Confermare il contratto di responsabile del trattamento e indicare la base del trasferimento negli USA – decisione di adeguatezza (Data Privacy Framework) o clausole contrattuali tipo]
• Cloudflare (Cloudflare, Inc., USA) – Turnstile, un controllo contro le richieste automatiche nei moduli di accesso e di contatto. Vengono trattati l'indirizzo IP e caratteristiche tecniche del browser. Responsabile del trattamento; è possibile un trattamento negli USA. [Confermare il contratto di responsabile del trattamento (Cloudflare Data Processing Addendum) e indicare la base del trasferimento negli USA – decisione di adeguatezza (Data Privacy Framework) o clausole contrattuali tipo]
• Stripe (Stripe Payments Europe, Limited, Irlanda, nonché Stripe, Inc., USA) – gestione dell'abbonamento a pagamento, dei pagamenti tra utenti e dei versamenti ai venditori. Stripe tratta i dati di pagamento in larga parte come titolare autonomo del trattamento e non per nostro conto, in particolare per adempiere a propri obblighi di vigilanza (prevenzione del riciclaggio, verifica dell'identità dei venditori). Per questo trattamento vale l'informativa sulla privacy di Stripe. Quali metodi di pagamento offre Stripe e quali servizi ci sono dietro è spiegato nella sezione 2 alla voce «Metodi di pagamento all'acquisto».
• Google (Google Ireland Limited, Irlanda, e Google LLC, USA) – accesso con Google su tua richiesta, notifiche nell'app (Firebase Cloud Messaging) e la nostra casella e-mail (Gmail), in cui arrivano i messaggi dal modulo di contatto. Per Firebase Cloud Messaging e per la casella di posta Google è responsabile del trattamento; è possibile un trattamento negli USA. [Confermare il contratto di trattamento dei dati (Firebase: Data Processing and Security Terms) e indicare la base del trasferimento negli USA; per la casella di posta scegliere un account con contratto di trattamento dei dati (Google Workspace) o una casella sul proprio dominio]
• YouTube (Google Ireland Limited, Irlanda, e Google LLC, USA) – dirette dei venditori sulla pagina del loro tavolo. Il player viene caricato solo quando tocchi «Carica diretta»; prima non c'è alcun collegamento con YouTube. Dopo, Google riceve tra l'altro il tuo indirizzo IP, informazioni su browser e dispositivo e la pagina visitata, e può impostare cookie; è possibile un trattamento negli USA (Data Privacy Framework). Usiamo la modalità di privacy avanzata (youtube-nocookie.com). La base giuridica è il tuo consenso dato con il clic (art. 6, par. 1, lett. a) del GDPR, § 25, comma 1 TDDDG). Al trattamento su YouTube si applica l'informativa sulla privacy di Google.

5. Cookie e archiviazione locale

Utilizziamo solo cookie e memorizzazione locale tecnicamente necessari: i cookie di accesso, senza i quali l'utilizzo dell'account non è possibile; un cookie con l'ultima lingua scelta (un anno); nell'app, un cookie che contrassegna la visualizzazione dell'app (30 minuti); un cookie con la risposta alla proposta di lingua (un anno); all'accesso con codice e al ripristino della password, un cookie con l'indirizzo e-mail inserito, per potervi associare il codice (un'ora); dopo l'indicazione di una data di nascita inferiore ai 18 anni, un cookie che blocca la registrazione (24 ore); fino al lancio, un cookie che sblocca l'accesso all'anteprima (fino a 180 giorni); e, quando ci si unisce al team di un venditore, un cookie con l'invito (un'ora). Nel browser stesso (localStorage o sessionStorage) vengono salvati gli ultimi termini di ricerca usati, la scelta tra aspetto chiaro e scuro, il contenuto del carrello delle richieste, un avviso di recensione chiuso e la bozza di un prodotto durante la creazione – questi dati restano sul dispositivo.

Non impieghiamo strumenti di analisi o di marketing. Un banner di consenso non è quindi necessario.

Nota per il gestore, non per gli utenti: [Non appena si aggiunge uno strumento di analisi o di marketing, in questo punto un banner di consenso diventa obbligatorio e il paragrafo qui sopra va sostituito]

6. Periodo di conservazione

Conserviamo i dati dell'account finché l'account esiste. Su richiesta all'indirizzo indicato sopra cancelliamo un account; ne sono esclusi i dati che dobbiamo o possiamo conservare.

Puoi cancellare il tuo account da solo in qualsiasi momento: in «Il mio account» → «Elimina account». Il presupposto è che non ci siano più ordini in corso. Vengono cancellati subito i tuoi dati di accesso, il tuo profilo, il tuo indirizzo di spedizione, gli annunci di ricerca, i preferiti, i tavoli preferiti, le liste di collezione, le notifiche, i voti e gli avvertimenti; un abbonamento in corso termina. Il tuo tavolo e le tue carte vengono tolti dal catalogo. Ciò che siamo tenuti a conservare – dati di ordini, pagamenti e fatture nonché i dati fiscali dei venditori – resta memorizzato e bloccato per il periodo previsto dalla legge; il tuo profilo stesso viene quindi anonimizzato. Le cronologie delle chat e le recensioni restano leggibili per l'altra parte; al posto del tuo nome compare «Account eliminato». La base giuridica per la conservazione è l'art. 6, par. 1, lett. c) del GDPR in combinato disposto con il § 147 AO (codice tributario tedesco) e il § 257 HGB (codice commerciale tedesco); per la visualizzazione continuata delle chat, il nostro legittimo interesse e quello dell'altra parte a un affare ricostruibile (art. 6, par. 1, lett. f) del GDPR).

Per quanto tempo conserviamo le chat è spiegato nella sezione 2 alla voce «Chat e loro conservazione». La tabella alla fine di questa sezione riassume tutti i termini.

Conserviamo i dati di ordine, pagamento e fatturazione secondo le prescrizioni del diritto commerciale e tributario: dieci anni ai sensi del § 147 Abgabenordnung (codice tributario tedesco) e del § 257 Handelsgesetzbuch (codice commerciale tedesco), calcolati dalla fine dell'anno solare in cui l'ordine è stato concluso. Durante questo periodo i dati sono bloccati per ogni ulteriore trattamento.

Cancelliamo avvertimenti e periodi di blocco quando non sono più necessari per la difesa dagli abusi.

Termini di cancellazione in sintesi

Questa tabella riassume per quanto tempo conserviamo quali dati. Bloccati significa: i dati vengono conservati solo per lo scopo indicato e per il resto non vengono più trattati.

7. I tuoi diritti

Hai il diritto di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione. Inoltre ti spetta il diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati. L'autorità competente è il Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

Decisioni automatizzate: Alcuni passaggi avvengono automaticamente: il blocco della chat dopo tre avvertimenti, la pausa di verifica per i venditori privati oltre la soglia e il blocco di un account se un acquirente fa stornare un pagamento dopo aver confermato lui stesso la ricezione, se un venditore non restituisce nei termini le carte dell'acquirente in uno scambio parziale o se un venditore perde per propria colpa due storni entro 90 giorni. Tutti questi passaggi sono provvisori. Puoi chiedere in qualsiasi momento che il caso venga esaminato da una persona, esporre il tuo punto di vista e contestare la decisione (art. 22, par. 3 del GDPR) – nel modo più semplice tramite il modulo di contatto. Un blocco definitivo del tuo account o delle tue vendite lo decide sempre una persona.