Privacy Policy

Questa informativa dice quali dati personali Gandolfi Marmi SRL tratta, perché, su quale base giuridica, chi li riceve e per quanto tempo restano. È resa ai sensi dell'art. 13 del Regolamento UE 2016/679 (GDPR) e del d.lgs. 196/2003 (Codice privacy). Per i cookie e gli strumenti analoghi c'è una pagina a parte, la Cookie Policy.

1. Chi tratta i dati

Il titolare del trattamento è Gandolfi Marmi SRL, Via dell'Artigianato 15/17, 27038 Robbio (PV), Italia — P.IVA IT00319940185, C.F. 00319940185, REA PV–136737.

Per qualunque questione sui dati personali, compreso l'esercizio dei diritti del punto 5: PEC gandolfimarmisrl@pec.it, email info@gandolfimarmi.com, telefono +39 0384 670526.

Non è stato nominato un responsabile della protezione dei dati (DPO): per questa attività non è obbligatorio ai sensi dell'art. 37 GDPR. Il riferimento è il titolare, ai recapiti qui sopra.

2. I trattamenti, uno per uno

Richieste dal modulo contatti

• Dati: nome, email, telefono (facoltativo), oggetto e testo del messaggio. Se scrivi dalla scheda di un prodotto, al messaggio si aggiunge la configurazione che stavi guardando: prodotto, altezza e pietra. Se rispondi alla domanda facoltativa «Come ci hai conosciuto?», la tua risposta. Se sei arrivato da un nostro annuncio, i parametri di campagna che erano nel link (utm_source, utm_campaign e simili, e l'identificativo del clic fbclid): non ci dicono chi sei, dicono quale annuncio ti ha portato qui.
• Finalità: Risponderti e, se la richiesta va avanti, preparare il preventivo o l'ordine.
• Base giuridica: misure precontrattuali prese su tua richiesta — art. 6, par. 1, lett. b, GDPR. Per il telefono e per la risposta a «Come ci hai conosciuto?», che sono facoltativi: il tuo consenso, implicito nel fornirli. Per i parametri di campagna: il nostro legittimo interesse a sapere quale annuncio funziona — art. 6, par. 1, lett. f, GDPR.
• Chi li riceve: Resend (invia la email di notifica al titolare) e Notion (registra la richiesta per poterla lavorare).
• Per quanto tempo: 24 mesi dall'ultimo scambio, se la richiesta non si trasforma in un ordine. Se diventa un ordine, vale il termine del trattamento successivo.

Richieste di lavori su misura

• Dati: nome, azienda (facoltativa), email, telefono, tipo di progetto, tipo di servizio richiesto e testo del messaggio.
• Finalità: Valutare il progetto e risponderti con una proposta.
• Base giuridica: misure precontrattuali prese su tua richiesta — art. 6, par. 1, lett. b, GDPR.
• Chi li riceve: Resend (notifica al titolare) e Notion (registrazione della richiesta).
• Per quanto tempo: 24 mesi dall'ultimo scambio, se non si arriva a un contratto.

Ordini, pagamento, consegna e fatturazione

• Dati: email, nome e cognome, indirizzo di consegna (via, CAP, città, provincia), telefono (facoltativo), prodotti ordinati con la loro configurazione, importi, zona di spedizione. Se rispondi alla domanda facoltativa «Come ci hai conosciuto?», la tua risposta; e se sei arrivato da un nostro annuncio, i parametri di campagna che erano nel link.
• Finalità: Concludere ed eseguire il contratto di vendita: incassare, produrre, spedire, fatturare, gestire garanzia e recesso.
• Base giuridica: esecuzione del contratto — art. 6, par. 1, lett. b, GDPR — e obblighi fiscali e contabili — art. 6, par. 1, lett. c, GDPR. Per la risposta facoltativa su come ci hai conosciuto: il tuo consenso, implicito nel darla. Per i parametri di campagna: il nostro legittimo interesse a sapere quale annuncio funziona — art. 6, par. 1, lett. f, GDPR.
• Chi li riceve: Stripe (incasso), Resend (email di conferma a te e di notifica al titolare), Notion (gestione dell'ordine in produzione), il corriere incaricato della consegna, il consulente fiscale per la contabilità.
• Per quanto tempo: 10 anni dalla registrazione contabile, per l'obbligo di conservazione delle scritture e dei documenti fiscali (art. 2220 del codice civile). I dati non necessari a quell'obbligo vengono cancellati prima.

Dati della carta di pagamento

• Dati: numero della carta, scadenza, codice di sicurezza.
• Finalità: Incassare il pagamento.
• Base giuridica: esecuzione del contratto — art. 6, par. 1, lett. b, GDPR.
• Chi li riceve: solo Stripe Payments Europe Ltd.
• Per quanto tempo: li conserva Stripe secondo le proprie regole, non noi.

I dati della carta non passano dai nostri server e non li vediamo mai. I campi della carta, al checkout, sono serviti da Stripe dentro il suo riquadro: quello che scrivi lì va direttamente a Stripe. Noi riceviamo solo l'esito del pagamento e gli ultimi dati necessari a riconoscere l'ordine.

Recesso

• Dati: nome, numero d'ordine, email.
• Finalità: Registrare la dichiarazione di recesso, mandarti la ricevuta con data e ora, gestire il rimborso.
• Base giuridica: esecuzione del contratto e obblighi di legge — art. 6, par. 1, lett. b e c, GDPR (artt. 52 e seguenti del Codice del consumo).
• Chi li riceve: Resend (ricevuta a te e notifica al titolare), Notion, consulente fiscale per il rimborso.
• Per quanto tempo: 10 anni, insieme ai documenti dell'ordine a cui il recesso si riferisce.

Lista d'attesa

• Dati: il tuo indirizzo email.
• Finalità: Avvisarti quando un prodotto torna disponibile o quando il catalogo si apre.
• Base giuridica: il tuo consenso — art. 6, par. 1, lett. a, GDPR.
• Chi li riceve: Resend (elenco dei contatti) e Notion.
• Per quanto tempo: fino a quando revochi il consenso, scrivendo a uno dei recapiti del punto 1.

Comunicazioni commerciali via email

• Dati: il tuo indirizzo email e la spunta con cui hai acconsentito.
• Finalità: Mandarti comunicazioni commerciali sui nostri prodotti.
• Base giuridica: il tuo consenso — art. 6, par. 1, lett. a, GDPR, spuntato nel carrello prima dell'ordine e non necessario per ordinare.
• Chi li riceve: Resend e Notion.
• Per quanto tempo: fino a quando revochi il consenso.

La spunta viene registrata insieme all'ordine. A oggi non mandiamo comunicazioni commerciali: la raccogliamo per poterlo fare, e quando inizieremo ogni messaggio avrà il collegamento per disiscriversi.

Statistiche di utilizzo del sito (Google Analytics 4)

• Dati: pagine viste, provenienza del traffico, tipo di dispositivo e browser, indirizzo IP, e gli eventi di vendita: scheda prodotto vista, aggiunta al carrello, inizio del checkout, acquisto con il suo importo.
• Finalità: Capire quali pagine funzionano e quante persone arrivano a comprare.
• Base giuridica: il tuo consenso — art. 6, par. 1, lett. a, GDPR, e art. 122 del Codice privacy. Senza consenso il tag di Google non viene nemmeno caricato.
• Chi li riceve: Google Ireland Ltd.
• Per quanto tempo: i cookie durano 400 giorni (vedi la Cookie Policy); i dati nei rapporti di Google Analytics restano per il periodo impostato nella proprietà, al massimo 14 mesi.

L'evento di acquisto viene mandato a Google anche dal nostro server, con il Measurement Protocol, perché un ordine reale non vada perso se chiudi la pagina subito dopo il pagamento. Anche questo invio parte solo con il tuo consenso alle statistiche: la scelta viene registrata insieme all'ordine nel momento in cui inizi il pagamento.

Misurazione delle pubblicità (Meta Pixel e Conversions API)

• Dati: pagine viste, schede prodotto guardate, materiali aperti dal catalogo, aggiunta al carrello, inizio del checkout, acquisto con il suo importo, invio di una richiesta dal modulo contatti; indirizzo IP, tipo di browser e dispositivo; gli identificativi dei cookie _fbp e _fbc; la tua email e, per le sole richieste dal modulo contatti, il telefono, sempre trasformati in un codice non reversibile (hash SHA-256) prima dell'invio. Nome, testo del messaggio e indirizzo di spedizione non vengono mai inviati.
• Finalità: Sapere se le nostre pubblicità su Facebook e Instagram portano visite, richieste e ordini.
• Base giuridica: il tuo consenso — art. 6, par. 1, lett. a, GDPR, e art. 122 del Codice privacy. Senza consenso il pixel non viene caricato e al tuo browser non arriva niente da Meta.
• Chi li riceve: Meta Platforms Ireland Ltd.
• Per quanto tempo: i cookie _fbp e _fbc durano 90 giorni (vedi la Cookie Policy); noi non conserviamo copia di quello che inviamo, che Meta tiene secondo la propria informativa.

Per la raccolta di questi dati sul sito e il loro invio a Meta, Gandolfi Marmi SRL e Meta Platforms Ireland Ltd. sono contitolari del trattamento (Corte di giustizia dell'Unione europea, causa C-40/17 Fashion ID); per quello che Meta fa dopo con quei dati, Meta è titolare autonomo. La divisione dei compiti è nell'accordo di contitolarità di Meta, il Controller Addendum: noi ti informiamo e raccogliamo il consenso, Meta risponde alle richieste di accesso, rettifica e cancellazione sui dati che conserva. Puoi scrivere a noi o a Meta; le richieste che riceviamo su quei dati le inoltriamo a Meta. Come per Google, anche l'invio dell'acquisto dal nostro server parte solo con il consenso al marketing.

Conteggio aggregato delle visite senza cookie (Vercel Analytics)

• Dati: pagina visitata, Paese, tipo di dispositivo e sorgente di provenienza, in forma aggregata. Nessun cookie, nessun identificativo salvato nel browser, nessun profilo.
• Finalità: Sapere quante visite riceve il sito e su quali pagine, senza tracciare le persone.
• Base giuridica: legittimo interesse del titolare a conoscere l'andamento del proprio sito — art. 6, par. 1, lett. f, GDPR. Puoi opporti scrivendo a uno dei recapiti del punto 1.
• Chi li riceve: Vercel Inc.
• Per quanto tempo: secondo le impostazioni del servizio; i dati sono aggregati e non riferibili a te.

Mappa della sede nella pagina Contatti

• Dati: indirizzo IP e informazioni sul browser, inviati a Google quando carichi la mappa.
• Finalità: Mostrarti dove siamo.
• Base giuridica: il tuo consenso — art. 6, par. 1, lett. a, GDPR.
• Chi li riceve: Google Ireland Ltd.
• Per quanto tempo: non conserviamo nulla; vale l'informativa di Google.

La mappa non si carica da sola: al suo posto trovi un segnaposto, e si attiva solo se la chiedi tu con un clic.

Sicurezza del sito e prevenzione degli abusi

• Dati: indirizzo IP, tipo di browser, momento e tipo della richiesta; un token tecnico legato alla sessione per gli invii dei moduli e degli ordini.
• Finalità: Impedire invii automatici e ripetuti dei moduli, tenere fuori lo spam, evitare che una richiesta venga inviata a tuo nome da un altro sito.
• Base giuridica: legittimo interesse del titolare a proteggere il proprio sito e chi lo usa — art. 6, par. 1, lett. f, GDPR.
• Chi li riceve: Vercel (che ospita il sito e tiene i log tecnici della piattaforma) e, per il controllo antifrode sul pagamento, Stripe e il suo fornitore hCaptcha.
• Per quanto tempo: i contatori che limitano le richieste vivono in memoria e durano 60 secondi; i log tecnici della piattaforma restano per il tempo previsto da Vercel. Non teniamo un archivio nostro di indirizzi IP.

3. Chi riceve i dati

Qui sotto tutti i soggetti che ricevono dati personali, con il ruolo che hanno. I responsabili del trattamento agiscono su nostra istruzione, con un contratto ai sensi dell'art. 28 GDPR.

I dati possono inoltre essere comunicati alle autorità competenti, quando la legge lo richiede. Non vendiamo e non cediamo dati personali a terzi per finalità commerciali.

Il sistema che gestisce i contenuti del sito (Sanity) non riceve dati personali: contiene prodotti, materiali e immagini, e il sito lo legge soltanto. Lo diciamo perché le informative precedenti lo elencavano fra i fornitori che trattano dati, e non è esatto.

4. Trasferimenti fuori dall'Unione europea

Alcuni dei fornitori elencati al punto 3 trattano dati negli Stati Uniti. Per i fornitori che risultano certificati, il trasferimento si basa sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 sul quadro UE-USA per la protezione dei dati (EU-US Data Privacy Framework). Dove quella certificazione non c'è o non copre il trattamento, il trasferimento si basa sulle clausole contrattuali standard approvate dalla Commissione europea, accompagnate dalle misure supplementari previste dai contratti con i fornitori.

Il quadro UE-USA è oggetto di un ricorso pendente davanti alla Corte di giustizia dell'Unione europea (causa C-703/25 P). Se la decisione di adeguatezza venisse annullata o modificata, i trasferimenti continueranno sulla base delle clausole contrattuali standard e questa informativa verrà aggiornata.

Puoi chiederci copia delle garanzie applicate a un singolo trasferimento scrivendo a uno dei recapiti del punto 1.

5. I tuoi diritti

Puoi esercitare in ogni momento i diritti degli articoli 15-22 del GDPR:

• sapere quali tuoi dati trattiamo e averne copia (accesso);
• far correggere i dati sbagliati o incompleti (rettifica);
• chiederne la cancellazione, quando non abbiamo un obbligo di conservarli;
• chiedere che il trattamento venga limitato, mentre una contestazione è aperta;
• ricevere i dati in un formato leggibile da un altro sistema, o farli trasferire (portabilità);
• opporti ai trattamenti basati sul legittimo interesse;
• revocare un consenso in ogni momento: la revoca vale da quel momento e non rende illecito quello che è stato fatto prima. Per i cookie si revoca dal pulsante «Rivedi preferenze cookie» nel footer di ogni pagina.

Per esercitarli scrivi alla PEC gandolfimarmisrl@pec.it o all'email info@gandolfimarmi.com. Rispondiamo entro un mese, come prevede l'art. 12 GDPR.

Se ritieni che il trattamento dei tuoi dati violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o rivolgerti all'autorità giudiziaria.

6. Quali dati sono obbligatori

• Per ordinare: email, nome e indirizzo di consegna sono necessari. Senza non possiamo concludere il contratto né spedire. Il telefono è facoltativo e serve al corriere per avvisarti della consegna.
• Per scrivere dai moduli: nome, email e messaggio sono necessari per poterti rispondere; il telefono è facoltativo.
• Statistiche, marketing, mappa, comunicazioni commerciali: del tutto facoltativi. Se rifiuti, il sito funziona per intero e puoi ordinare normalmente.

7. Nessuna decisione automatizzata

Non prendiamo decisioni su di te in modo automatizzato e non facciamo profilazione che produca effetti giuridici o comunque significativi sulle persone (art. 22 GDPR). Nessun sistema automatico decide se accettare un ordine, a quale prezzo o a quali condizioni.

8. Dati dei minori

Il sito si rivolge a un pubblico adulto e non raccogliamo intenzionalmente dati di minori di 16 anni. Se ritieni che un minore ci abbia fornito dati, scrivici a info@gandolfimarmi.com e li cancelliamo.

9. Cookie

Cookie, archivi locali e strumenti di terza parte sono elencati uno per uno, con durata e finalità, nella Cookie Policy, dove trovi anche come dare, negare e revocare il consenso.

10. Modifiche a questa informativa

Questa informativa cambia quando cambiano i trattamenti. La data in cima alla pagina è quella dell'ultima pubblicazione. Se cambiano le finalità dei cookie, il banner si ripresenta per chiederti una nuova scelta.