Informativa sulla privacy

La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (di seguito "GDPR") e del D.Lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, come modificato dal D.Lgs. 101/2018), agli utenti che consultano e utilizzano il marketplace Tuscany Market Hub, raggiungibile all'indirizzo tuscanymarkethub.it (di seguito, il "Marketplace" o la "Piattaforma").

Il Marketplace è un'infrastruttura digitale che mette in contatto produttori artigianali e agroalimentari del territorio toscano con i clienti finali. La presente informativa riguarda esclusivamente i trattamenti effettuati dal titolare della Piattaforma in relazione alle attività di gestione del Marketplace; per i trattamenti effettuati dai singoli produttori venditori in qualità di autonomi titolari, si rimanda alle rispettive informative.

1. Titolare del trattamento

Titolare del trattamento dei dati personali è:

Federazione Italiana Ambulanti (FIA) — soggetto attuatore del progetto Tuscany Market Hub. Codice domanda regionale: 369.20250414.998000091.

Per ogni richiesta relativa al trattamento dei dati personali e per l'esercizio dei diritti dell'interessato, i recapiti aggiornati sono pubblicati nella pagina Contatti.

2. Tipologie di dati personali raccolti

Il Marketplace raccoglie e tratta le seguenti tipologie di dati personali:

2.1 Dati di navigazione

Nel corso del normale funzionamento del Marketplace, i sistemi informatici acquisiscono alcuni dati la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet: indirizzi IP, identificativi del dispositivo e del browser (user agent), pagine visitate, orario della richiesta, parametri relativi al sistema operativo e all'ambiente informatico dell'utente. Tali dati sono trattati al solo fine di garantire il corretto funzionamento del Marketplace e di rilevarne eventuali anomalie.

2.2 Dati forniti per la creazione dell'account

L'utente che sceglie di registrarsi al Marketplace fornisce: nome, cognome, indirizzo e-mail, password (memorizzata in forma cifrata), e facoltativamente recapito telefonico e indirizzo. Tali dati permettono la gestione personalizzata dell'esperienza di acquisto, lo storico ordini e la gestione dei dati di consegna salvati.

2.3 Dati forniti durante l'acquisto (account o checkout come ospite)

Per concludere un ordine — sia tramite account registrato sia tramite checkout come ospite — sono raccolti: dati identificativi (nome, cognome), dati di contatto (e-mail, telefono), indirizzo di consegna, indirizzo di fatturazione, dati fiscali ove richiesti (codice fiscale, partita IVA per soggetti professionali), dettaglio dei prodotti ordinati e modalità di consegna scelta (consegna a domicilio tramite corriere convenzionato o ritiro presso uno dei mercati attivi nel circuito del progetto).

2.4 Dati di pagamento

I dati relativi agli strumenti di pagamento (numero carta, data di scadenza, codice di sicurezza) non sono mai trattati né conservati dal titolare. Le operazioni di pagamento avvengono in ambiente sicuro gestito dal fornitore di servizi di pagamento integrato nel Marketplace, certificato secondo gli standard di sicurezza del settore (PCI-DSS). Il titolare riceve dal fornitore di servizi di pagamento esclusivamente la conferma dell'avvenuta transazione e il riferimento dell'operazione.

2.5 Dati raccolti tramite form di contatto

Compilando il form di contatto eventualmente presente nel Marketplace, l'utente fornisce volontariamente: nome, cognome, indirizzo e-mail, oggetto e contenuto della richiesta. Tali dati sono utilizzati esclusivamente per dare riscontro alla richiesta dell'utente.

2.6 Dati raccolti tramite iscrizione alla newsletter

L'utente che desidera ricevere la newsletter del progetto fornisce il proprio indirizzo e-mail. L'iscrizione avviene tramite procedura di doppia conferma (double opt-in). La lista contatti è tecnicamente unitaria a livello del progetto MANUARTI/Tuscany Market Hub e ciascun iscritto viene associato, in fase di registrazione, a un identificativo ("tag") che traccia la fonte di iscrizione, al fine di consentire l'invio di comunicazioni pertinenti.

2.7 Cookie e tecnologie analoghe

Il Marketplace utilizza cookie tecnici e, previo consenso dell'utente, cookie di analisi e di terze parti. Per il dettaglio completo, si rinvia integralmente alla Cookie policy del Marketplace.

3. Finalità del trattamento e base giuridica

I dati personali raccolti tramite il Marketplace sono trattati per le seguenti finalità:

3.1 Erogazione del Marketplace e gestione dell'account

Finalità: consentire la navigazione, la registrazione, l'autenticazione, la gestione dell'account utente e dei dati di consegna salvati.

Base giuridica: esecuzione del contratto di utilizzo del Marketplace di cui l'interessato è parte (art. 6, par. 1, lett. b, GDPR) e legittimo interesse del titolare alla sicurezza informatica della Piattaforma (art. 6, par. 1, lett. f, GDPR).

3.2 Gestione degli ordini e delle consegne

Finalità: elaborare l'ordine, trasmetterlo al produttore venditore competente, gestire la consegna a domicilio tramite corriere convenzionato o organizzare il ritiro presso il mercato selezionato, comunicare all'utente lo stato dell'ordine, gestire eventuali reclami, resi e rimborsi.

Base giuridica: esecuzione del contratto di acquisto di cui l'interessato è parte (art. 6, par. 1, lett. b, GDPR).

3.3 Adempimenti contabili e fiscali

Finalità: emissione della documentazione fiscale, gestione contabile, adempimento degli obblighi previsti dalla normativa fiscale e tributaria.

Base giuridica: obbligo legale (art. 6, par. 1, lett. c, GDPR).

3.4 Gestione dei pagamenti

Finalità: elaborazione delle transazioni di pagamento e prevenzione delle frodi.

Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b, GDPR) e obbligo legale (art. 6, par. 1, lett. c, GDPR).

3.5 Riscontro alle richieste tramite form di contatto

Finalità: evadere le richieste di informazioni inoltrate dagli utenti.

Base giuridica: esecuzione di misure precontrattuali adottate su richiesta dell'interessato (art. 6, par. 1, lett. b, GDPR) ovvero consenso (art. 6, par. 1, lett. a, GDPR).

3.6 Invio della newsletter di progetto

Finalità: informare l'iscritto sulle attività, gli eventi, le iniziative, le nuove disponibilità di prodotto e i contenuti editoriali del progetto.

Base giuridica: consenso libero, specifico, informato e inequivocabile dell'interessato, manifestato attraverso la procedura di doppia conferma (art. 6, par. 1, lett. a, GDPR). Il consenso può essere revocato in qualsiasi momento attraverso l'apposito link di disiscrizione presente in ogni messaggio inviato.

3.7 Adempimento di obblighi di legge e gestione del contenzioso

Finalità: ottemperare a obblighi di legge, regolamenti o provvedimenti dell'autorità; far valere o difendere un diritto in sede giudiziaria.

Base giuridica: obbligo legale (art. 6, par. 1, lett. c, GDPR) e legittimo interesse del titolare (art. 6, par. 1, lett. f, GDPR).

4. Modalità del trattamento

I dati personali sono trattati con strumenti informatici e telematici, con logiche strettamente correlate alle finalità indicate e in modo da garantirne la sicurezza e la riservatezza. Il titolare adotta misure tecniche e organizzative adeguate, ai sensi dell'art. 32 GDPR, per proteggere i dati da accessi non autorizzati, perdita, distruzione o divulgazione.

Il titolare non effettua attività di profilazione automatizzata che produca effetti giuridici sull'interessato o che incida significativamente sulla sua persona ai sensi dell'art. 22 GDPR. Eventuali analisi sull'utilizzo del Marketplace e sulle preferenze degli utenti sono condotte in forma aggregata e per finalità statistiche.

5. Periodo di conservazione

I dati personali sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti, e in particolare:

• Dati di navigazione: conservati per un periodo non superiore a 12 mesi, salvo necessità di accertamento di reati informatici.
• Dati dell'account utente: conservati per tutta la durata del rapporto contrattuale e fino alla cancellazione dell'account da parte dell'utente; successivamente, conservati per un periodo massimo di 12 mesi nei sistemi di backup, salvo obblighi di conservazione previsti per legge.
• Dati relativi agli ordini, alla fatturazione e alle transazioni: conservati per 10 anni dalla data dell'operazione, in conformità agli obblighi di conservazione previsti dalla normativa civilistica e fiscale (art. 2220 c.c.).
• Dati raccolti tramite form di contatto: conservati per il tempo necessario a evadere la richiesta e, successivamente, per un massimo di 24 mesi.
• Dati per la newsletter: conservati fino alla revoca del consenso da parte dell'interessato (disiscrizione) e successivamente cancellati o anonimizzati, salvo obblighi di conservazione per finalità di prova del consenso prestato.
• Dati per gestione del contenzioso: conservati per il tempo previsto dalla normativa applicabile o necessario all'esercizio del diritto in sede giudiziaria.

6. Categorie di destinatari

I dati personali raccolti tramite il Marketplace potranno essere comunicati alle seguenti categorie di soggetti:

• personale interno autorizzato del titolare, formalmente designato e istruito al trattamento;
• produttori venditori del Marketplace, in qualità di autonomi titolari del trattamento per le finalità connesse all'evasione dell'ordine. I dati relativi a un ordine (dati identificativi del cliente, indirizzo di consegna, dettaglio del prodotto acquistato) sono comunicati esclusivamente al singolo produttore venditore i cui prodotti sono inclusi nell'ordine, ai fini della preparazione e della consegna o del ritiro al mercato. Il produttore tratta tali dati in conformità alla propria informativa privacy e nel rispetto della normativa applicabile;
• fornitore di servizi di piattaforma e-commerce (Shopify Inc.), in qualità di responsabile esterno del trattamento ex art. 28 GDPR, per la gestione tecnica del Marketplace;
• fornitore di servizi di pagamento (Shopify Payments e gestore del circuito di pagamento utilizzato), in qualità di autonomo titolare per le operazioni di pagamento, conformemente alla propria informativa privacy;
• corriere convenzionato per la consegna a domicilio (Mail Boxes Etc. e relativi vettori incaricati), in qualità di responsabile esterno o autonomo titolare a seconda del rapporto, per le finalità di spedizione e tracciamento;
• soggetti gestori dei mercati in cui è attivo il servizio di ritiro al mercato, limitatamente ai dati strettamente necessari all'identificazione del cliente al momento del ritiro;
• Unione Artigiani Italiani — sedi di Firenze e Livorno (UAI Firenze, UAI Livorno), per finalità di coordinamento operativo del progetto nei rispettivi territori, limitatamente a dati aggregati o specifici nei casi in cui ciò sia funzionale alla gestione del progetto;
• fornitori di servizi tecnici (hosting, manutenzione, sicurezza informatica, invio della newsletter), nominati responsabili del trattamento ai sensi dell'art. 28 GDPR;
• autorità pubbliche, ove richiesto da norme di legge o da provvedimenti dell'autorità;
• consulenti e professionisti incaricati, vincolati a obbligo di riservatezza.

L'elenco aggiornato dei responsabili del trattamento è disponibile su richiesta scritta da inoltrare ai recapiti pubblicati nella pagina Contatti.

I dati non sono oggetto di diffusione.

7. Trasferimento dei dati al di fuori dell'Unione Europea

Alcuni dei fornitori di servizi tecnici utilizzati dal Marketplace (in particolare il fornitore della piattaforma e-commerce) hanno sede o effettuano trattamenti in paesi terzi rispetto allo Spazio Economico Europeo. In tali casi, il trasferimento avviene esclusivamente verso paesi che assicurano un livello di protezione adeguato secondo decisione della Commissione Europea, ovvero sulla base di garanzie appropriate ai sensi degli artt. 46 e seguenti GDPR (in particolare clausole contrattuali standard adottate dalla Commissione Europea, ed eventualmente misure supplementari contrattuali, tecniche e organizzative).

Copia delle garanzie adottate è disponibile su richiesta scritta da inoltrare ai recapiti pubblicati nella pagina Contatti.

8. Diritti dell'interessato

In relazione al trattamento dei propri dati personali, l'interessato ha diritto di:

• ottenere conferma dell'esistenza o meno di un trattamento dei propri dati personali e accedere ai medesimi e alle informazioni di cui all'art. 15 GDPR;
• ottenere la rettifica dei dati inesatti o l'integrazione dei dati incompleti (art. 16 GDPR);
• ottenere la cancellazione dei dati personali ("diritto all'oblio"), nei casi previsti dall'art. 17 GDPR. Si segnala che alcuni dati — in particolare quelli connessi a fatturazione, ordini e adempimenti fiscali — non possono essere cancellati prima del termine previsto dagli obblighi di conservazione di legge;
• ottenere la limitazione del trattamento nei casi previsti dall'art. 18 GDPR;
• ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali forniti, e di trasmetterli ad altro titolare del trattamento, ove tecnicamente possibile (diritto alla portabilità, art. 20 GDPR);
• opporsi al trattamento dei propri dati personali, in qualsiasi momento, quando il trattamento si fonda sul legittimo interesse del titolare, salvo motivi legittimi cogenti per procedere al trattamento (art. 21 GDPR);
• revocare il consenso in qualsiasi momento, qualora il trattamento si fondi sul consenso, senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca (art. 7, par. 3, GDPR);
• proporre reclamo all'autorità di controllo competente (Garante per la protezione dei dati personali, www.garanteprivacy.it), qualora ritenga che il trattamento dei propri dati personali violi la normativa applicabile (art. 77 GDPR).

9. Modalità di esercizio dei diritti

L'interessato può esercitare i diritti sopra elencati inviando una richiesta scritta ai recapiti pubblicati nella pagina Contatti. La richiesta deve essere accompagnata da elementi idonei a verificare l'identità dell'interessato. Il riscontro alla richiesta sarà fornito senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento, prorogabile di ulteriori due mesi nei casi di particolare complessità, dandone notizia all'interessato.

Per le richieste di cancellazione dell'account utente, è inoltre disponibile la funzione dedicata all'interno dell'area personale del Marketplace.

L'esercizio dei diritti è gratuito. Tuttavia, in caso di richieste manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare potrà addebitare un contributo spese ragionevole o rifiutare di soddisfare la richiesta.

10. Reclamo all'autorità di controllo

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento dei propri dati personali avvenga in violazione del GDPR ha diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma; www.garanteprivacy.it; protocollo@gpdp.it), ovvero all'autorità di controllo dello Stato membro in cui risiede abitualmente, lavora o si è verificata la presunta violazione.

11. Contatti

Per qualunque richiesta relativa al trattamento dei dati personali e per l'esercizio dei diritti, è possibile rivolgersi al titolare del trattamento ai recapiti pubblicati nella pagina Contatti.

12. Modifiche alla presente informativa

La presente informativa può essere aggiornata, anche in conseguenza di modifiche normative, di pronunce dell'autorità di controllo o di evoluzioni nei trattamenti effettuati. La versione vigente è sempre pubblicata sul Marketplace alla pagina Privacy policy, con indicazione della data di ultimo aggiornamento. Si invitano gli utenti a consultare periodicamente la pagina.