Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento ai sensi del GDPR è:

• Devid Demetz
• Larciunei 46, 39048 Selva di Val Gardena (BZ), Italia
• Email: privacy@alpacakeep.com
• Telefono: +39 328 557 7767

Non è stato nominato un Responsabile della protezione dei dati (DPO). Ai sensi dell'art. 37 GDPR la nomina è obbligatoria solo per autorità pubbliche, soggetti le cui attività principali consistano nel monitoraggio sistematico su larga scala di interessati, o nel trattamento su larga scala di categorie particolari di dati - nessuna delle quali è applicabile. Per i visitatori residenti in Germania, il §38(1) primo periodo del BDSG impone inoltre la nomina di un DPO qualora almeno 20 persone siano stabilmente impegnate nel trattamento automatizzato di dati personali; il titolare è ben al di sotto di tale soglia (ditta individuale, nessun dipendente). Le richieste in materia di protezione dei dati possono essere indirizzate direttamente al titolare ai recapiti sopra indicati.

1a. Il nostro ruolo: titolare e responsabile

Per l'account e l'accesso, la fatturazione, la corrispondenza di assistenza, la newsletter, le analisi del sito e le richieste degli acquirenti raccolte tramite le pagine di vendita pubbliche siamo titolari del trattamento, e la presente informativa descrive ciò che facciamo.

Per i dati di allevamento che inserisci nel servizio - animali, eventi, registri di riproduzione, foto, movimenti finanziari, documenti e la tua rubrica di contatti - il titolare del trattamento sei tu (o l'allevamento di cui fai parte) e noi agiamo esclusivamente come responsabili del trattamento su tue istruzioni, ai sensi dell'art. 28 GDPR. Una conseguenza è rilevante nella pratica: quando registri i dati di un'altra persona, ad esempio un veterinario, un acquirente o un fornitore nei tuoi contatti, spetta a te informarla come richiede l'art. 14 GDPR. Trattiamo tali contenuti unicamente per fornirti il servizio.

2. Dati che raccogliamo

Raccogliamo le seguenti categorie di dati personali:

• Dati dell'account: Indirizzo email, nome, preferenza di lingua e password in forma hash - forniti al momento della registrazione.
• Accesso con Google (facoltativo): Se scegli di accedere con Google, riceviamo dal tuo account Google l'indirizzo email e il nome visualizzato al posto di una password; per gli account solo-Google non viene memorizzata alcuna password. Questi dati sono conservati esattamente come i dati degli account con password. Vedi le Sezioni 6 e 7.
• Dati dell'allevamento: Animali, eventi, registri di riproduzione, foto, voci finanziarie e qualsiasi altro contenuto inserito nel servizio.
• Iscrizioni alla newsletter: Indirizzo email, indirizzo IP, user-agent del browser e timestamp - raccolti come prova del consenso ai sensi dell'art. 7(1) del GDPR.
• Dati tecnici e di log: Indirizzo IP, stringa user-agent e marche temporali delle richieste, raccolti per il monitoraggio della sicurezza e la prevenzione degli abusi. Quando invii una richiesta come acquirente conserviamo anche un'impronta a senso unico del tuo indirizzo IP (un hash con salt che non può essere ricondotto all'indirizzo), usata solo per limitare la frequenza degli invii ripetuti - mai per identificarti o tracciarti. I moduli pubblici della newsletter e di messa in vendita calcolano lo stesso tipo di impronta solo se scatta la loro trappola anti-bot nascosta. Se crei un account conserviamo il Paese selezionato, poiché la registrazione è attualmente aperta ai soli Stati membri dell'UE. Se ci invii un riscontro dall'interno del prodotto conserviamo il tuo messaggio insieme alla pagina da cui l'hai inviato.
• Cookie: Solo cookie essenziali di autenticazione e sessione, impostati da Supabase Auth - si veda la sezione 12 per i dettagli.
• Richieste degli acquirenti: Se contatti un venditore tramite una pagina di vendita pubblica o la pagina di un allevamento, raccogliamo il nome, l’indirizzo email e il messaggio che inserisci, il fatto che hai spuntato la casella di consenso e un’impronta non reversibile derivata dal tuo indirizzo IP (usata solo per limitare gli abusi). Per inviare una richiesta non serve un account.

3. Modalità e luogo del trattamento

Tutti i dati personali sono cifrati in transito (TLS) e a riposo. I dati sono archiviati nell'UE sull'infrastruttura Supabase nella regione di Francoforte e sono accessibili esclusivamente dal titolare e dai sub-responsabili del trattamento indicati nella sezione 6.

Adottiamo misure tecniche e organizzative ragionevoli per proteggere i dati personali ai sensi dell'art. 32 del GDPR. Nessun sistema di sicurezza può garantire protezione assoluta contro tutte le possibili minacce.

4. Finalità del trattamento

Trattiamo i dati personali per le seguenti finalità:

• Erogazione del servizio - gestione degli account, dei registri dell'allevamento e della condivisione all'interno di uno spazio di lavoro.
• Comunicazione con gli utenti relativa al servizio - email transazionali e risposte all'assistenza.
• Newsletter e aggiornamenti sul lancio - inviati esclusivamente agli iscritti che hanno prestato consenso esplicito; la revoca è disponibile in qualsiasi momento.
• Sicurezza, prevenzione di frodi e abusi, e adempimento degli obblighi di legge.

5. Base giuridica (art. 6 GDPR)

Il trattamento si fonda sulle seguenti basi giuridiche:

• Contratto (art. 6.1.b) - Il trattamento è necessario per l'erogazione del servizio richiesto.
• Consenso (art. 6.1.a) - Iscrizione alla newsletter. Il consenso può essere revocato in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.
• Interesse legittimo (art. 6.1.f) - Monitoraggio della sicurezza, prevenzione degli abusi e tutela dell'integrità del servizio.
• Consenso (art. 6.1.a) - Richieste degli acquirenti. Spunti una casella con cui accetti che nome, email e messaggio siano trasmessi al venditore perché possa risponderti; senza questo consenso la richiesta non viene accettata. L’impronta dell’indirizzo IP che la accompagna è trattata in base al legittimo interesse (art. 6.1.f) per la prevenzione degli abusi.

6. Destinatari e sub-responsabili del trattamento

I dati personali sono condivisi esclusivamente con i sub-responsabili del trattamento elencati di seguito, ciascuno dei quali agisce in qualità di responsabile del trattamento ai sensi dell'art. 28 del GDPR.

• Supabase Inc. - Database, autenticazione e archiviazione file. Regione: Francoforte, Germania (UE). Nessun dato personale lascia il SEE tramite questo fornitore. Accordo sul trattamento dei dati
• Vercel Inc. - Hosting dell'applicazione, CDN e Web Analytics. Le funzioni edge sono ancorate a fra1 (Francoforte). Web Analytics opera in modalità cookieless (nessun dato memorizzato sul dispositivo; cfr. Sezione 12). Alcune telemetrie della piattaforma potrebbero essere trattate negli Stati Uniti in base alle Clausole Contrattuali Standard dell'UE. Accordo sul trattamento dei dati
• Cloudflare Inc. - Risoluzione DNS. Nessun dato dell'applicazione viene archiviato; vengono elaborate solo le query DNS verso alpacakeep.com. Accordo sul trattamento dei dati
• Mailbox.org (Heinlein Hosting GmbH) - Hosting email per la casella @alpacakeep.com. Fornitore: Heinlein Hosting GmbH, Berlino, Germania (UE). Informativa privacy
• Umami Software, Inc. - Analisi rispettosa della privacy solo per le pagine pubbliche di marketing. Regione: Unione Europea (regione dati UE di Umami Cloud, Germania). Senza cookie e senza conservare l’indirizzo IP (vedere la Sezione 12); nessun dato personale lascia il SEE tramite questo responsabile. Accordo sul trattamento dei dati

In caso di aggiunta o modifica di un sub-responsabile, aggiorniamo questo elenco e informiamo preventivamente gli utenti con account attivi.

Accesso con Google (titolare autonomo, non sub-responsabile). Se scegli "Continua con Google", ti autentichi direttamente presso Google (Google Ireland Limited / Google LLC). Per il servizio di accesso, Google agisce come titolare autonomo del trattamento, non come nostro responsabile. Riceviamo solo l'indirizzo email e il nome visualizzato che autorizzi; sono conservati nel nostro database a Francoforte esattamente come le credenziali con password. Il trattamento effettuato da Google è disciplinato dalla informativa privacy di Google.

I venditori che ricevono la tua richiesta (titolari autonomi, non nostri responsabili del trattamento). Quando invii una richiesta tramite una pagina di vendita o di allevatore, l'allevamento contattato riceve nome, indirizzo email e messaggio via email e nel proprio account, così da poterti rispondere. La tua richiesta e le eventuali risposte sono conservate nel servizio come thread di messaggi: il venditore lo legge nel proprio account e le sue risposte ti arrivano via email (se hai un account AlpacaKeep con lo stesso indirizzo email, puoi anche aprire il thread nel servizio). Conserviamo tale thread in qualità di titolari finché esiste l'account del venditore; puoi chiederci di eliminarlo in qualsiasi momento. Separatamente, l'allevamento decide come trattare i tuoi dati e a tale uso si applicano i suoi obblighi di titolare.

7. Trasferimenti internazionali

L’archiviazione primaria dei dati personali avviene all’interno dello Spazio Economico Europeo (Supabase, Francoforte; analisi Umami, regione dati UE). Eventuali trasferimenti accessori di telemetrie della piattaforma verso gli Stati Uniti (Vercel) sono disciplinati dalle Clausole Contrattuali Standard dell’UE approvate dalla Commissione europea con la Decisione di esecuzione (UE) 2021/914. Se accedi con Google, lo scambio di autenticazione è elaborato da Google LLC negli Stati Uniti; Google LLC è certificata nell'ambito dell'EU-U.S. Data Privacy Framework, per il quale la decisione di adeguatezza della Commissione europea del 10 luglio 2023 riconosce un livello di protezione adeguato.

8. Conservazione dei dati

I dati personali sono conservati esclusivamente per il tempo necessario al conseguimento delle finalità per cui sono stati raccolti, in conformità all'art. 5(1)(e) del GDPR:

• Dati dell'account: Conservati per tutta la durata dell'account e per 30 giorni successivi alla cancellazione, dopo i quali vengono rimossi in modo irreversibile, salvo la necessità di conservare tracce contabili.
• Dati della newsletter: Conservati finché non annulli l'iscrizione, cosa che puoi fare con un clic da qualsiasi email della newsletter o dal tuo client di posta. Eliminiamo quindi immediatamente le evidenze del consenso originario (indirizzo IP e user-agent del browser) e manteniamo solo la registrazione minima dell'iscrizione e della sua revoca, come prova che l'opt-out è stato rispettato e perché una futura importazione della lista non possa mai reiscriverti silenziosamente. Puoi chiederci in qualsiasi momento di cancellare del tutto anche quella registrazione.
• Log delle attività: I log operativi delle azioni sono conservati per 24 mesi. I log relativi a sicurezza, fatturazione e registro degli animali sono conservati a tempo indeterminato o secondo la normativa fiscale italiana. I dati di allevamento che inserisci - animali, eventi, registri di riproduzione, contatti e gli altri - sono conservati finché il tuo account è attivo; una volta cancellati in modo reversibile vengono eliminati definitivamente dopo 24 mesi, salvo gli animali con movimenti finanziari collegati, conservati per il tempo richiesto dagli obblighi fiscali di conservazione. I documenti caricati restano finché non li elimini o finché il tuo account non viene cancellato - una tempistica automatica per tipo di documento è prevista ma non ancora operativa. I log dei server e delle richieste sono detenuti dai fornitori di infrastruttura elencati nella pagina dei sub-responsabili, secondo i loro termini di conservazione.
• Dati finanziari: Conservati per 10 anni dall'ultima transazione ai sensi delle disposizioni italiane in materia di conservazione fiscale - applicabili a partire dall'attivazione dei piani a pagamento.
• Richieste degli acquirenti: Conservate per il tempo in cui servono al venditore per gestire la tua richiesta, ed eliminate insieme al suo account. Puoi chiederci in qualsiasi momento di eliminare una richiesta che hai inviato, scrivendo all’indirizzo indicato nella Sezione 1.

9. I tuoi diritti

Ai sensi degli artt. 15 a 22 del GDPR, hai i seguenti diritti:

• Accesso (art. 15) - richiedere una copia dei dati personali che ti riguardano.
• Rettifica (art. 16) - richiedere la correzione di dati inesatti.
• Cancellazione (art. 17) - richiedere la cancellazione dei tuoi dati (il 'diritto all'oblio').
• Limitazione (art. 18) - richiedere la sospensione del trattamento in determinati casi.
• Portabilità (art. 20) - ricevere i tuoi dati in un formato leggibile da un sistema automatico; l'esportazione in CSV di animali, eventi, mostre, movimenti finanziari e risultati della fibra è disponibile direttamente nel prodotto e le altre categorie vengono fornite su richiesta.
• Opposizione (art. 21) - opporsi al trattamento effettuato sulla base dell'interesse legittimo.
• Revoca del consenso (art. 7(3)) - applicabile a qualsiasi trattamento basato sul consenso (ad es. newsletter); la revoca non pregiudica la liceità del trattamento precedente.

10. Come esercitare i tuoi diritti

Per esercitare uno qualsiasi di questi diritti, invia un'email a privacy@alpacakeep.com. Risponderemo entro un mese come previsto dall'art. 12(3) del GDPR; per richieste complesse potremmo prorogare il termine di due ulteriori mesi e ti comunicheremo la proroga.

11. Diritto di proporre reclamo

Se ritieni che il trattamento dei tuoi dati personali avvenga in violazione del GDPR, puoi proporre reclamo all'autorità di controllo italiana, il Garante per la Protezione dei Dati Personali, all'indirizzo garanteprivacy.it. Ai sensi dell'art. 77(1) GDPR puoi inoltre rivolgerti all'autorità di controllo del tuo Stato membro di residenza abituale; per i visitatori residenti in Germania si tratta della Datenschutzaufsichtsbehörde del Land competente.

12. Cookie e analitica

Questo sito utilizza esclusivamente cookie essenziali - di autenticazione e sessione, impostati da Supabase Auth - strettamente necessari all'erogazione del servizio ai sensi dell'art. 5(3) della Direttiva ePrivacy, delle Linee Guida del Garante per la protezione dei dati personali del 10 giugno 2021 e del §25(2) n. 2 del TDDDG tedesco. Per tali cookie non è richiesto il consenso.

Se accedi con Google, durante la procedura di accesso Google imposta i propri cookie sul proprio dominio (accounts.google.com). Tali cookie sono impostati da Google sul sito di Google, non da noi su alpacakeep.com, e sono disciplinati dalla cookie policy di Google.

Sono inoltre attive analisi senza cookie sulle pagine pubbliche di marketing (Umami) e Vercel Web Analytics su ogni pagina, compresa l'applicazione ad accesso riservato. Entrambi operano in modalità cookieless: i visitatori sono identificati tramite un hash lato server derivato dalla richiesta in arrivo, non vengono impostati cookie sul dispositivo, non viene scritto nulla in localStorage né altri identificatori persistenti. Nessun indirizzo IP viene conservato. I dati di sessione aggregati vengono scartati dopo 24 ore (Vercel) e non sono conservati come dati personali (Umami). Poiché nulla viene memorizzato sul dispositivo, questo trattamento non rientra nell’obbligo di consenso del §25 TDDDG / art. 5(3) ePrivacy; i dati personali sottostanti (indirizzo IP a livello edge, user-agent, URL richiesto) sono trattati sulla base del nostro legittimo interesse (art. 6(1)(f) GDPR) a misurare i pattern di traffico.

Non vengono utilizzati cookie pubblicitari o di tracciamento di terze parti, né vengono creati profili comportamentali. Qualora introducessimo uno strumento che scriva sul dispositivo o costruisca un identificatore cross-site, sarà implementato preventivamente un banner di consenso in conformità alle linee guida del Garante e al §25 TDDDG.

Gli allevatori possono incorporare nel proprio sito web un widget che mostra i loro annunci pubblici. Quando si visita una pagina di questo tipo, il browser richiede il widget e le relative foto ai nostri server, che ricevono gli stessi dati tecnici della richiesta descritti sopra e non impostano alcun cookie. Il sito web dell'allevatore è disciplinato dall'informativa sulla privacy dell'allevatore stesso.

13. Modifiche alla presente informativa

La presente informativa potrà essere aggiornata con l'evoluzione del servizio. La data di 'ultimo aggiornamento' in cima al documento riflette la modifica più recente. Le modifiche sostanziali - quali l'aggiunta di un nuovo sub-responsabile o di una nuova finalità di trattamento - saranno comunicate via email agli utenti con account attivi.