Informativa ai sensi degli artt. 13-14 del Regolamento UE 2016/679 (GDPR)
1. Titolare del trattamento
Hammer & Drill S.R.L.
Sede legale: Siena, Strada di Busseto 18
P.IVA: 01554740520
Email: privacy@bellybuttonsgreed.it
Hammer & Drill S.R.L. opera in qualità di contitolare del trattamento ai sensi dell’art. 26 del GDPR, unitamente alle altre società del Gruppo Belly Button’s Greed S.R.L. L’accordo di contitolarità definisce i rispettivi ruoli e responsabilità in relazione ai trattamenti effettuati. Il contenuto essenziale di tale accordo è disponibile su richiesta, scrivendo a privacy@bellybuttonsgreed.it. Il punto di contatto per l’interessato è l’indirizzo email del Titolare sopra indicato.
2. Responsabile della Protezione dei Dati (DPO)
Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO) in quanto i trattamenti effettuati non rientrano nei casi previsti dall’art. 37 del GDPR. Per qualsiasi richiesta relativa al trattamento dei dati personali, è possibile contattare il Titolare all’indirizzo email: privacy@bellybuttonsgreed.it.
3. Categorie di dati trattati
Il Titolare tratta le seguenti categorie di dati personali:
- Dati identificativi: nome, cognome, codice fiscale
- Dati di contatto: numero di telefono, indirizzo email, indirizzo postale, città, provincia, CAP
- Dati di navigazione: indirizzo IP, tipo di browser (user agent), data e ora di accesso, pagine visitate
- Dati tecnici: cookie tecnici necessari al funzionamento del sito (nessun cookie di profilazione viene installato senza previo consenso)
Non vengono trattati dati appartenenti a categorie particolari di cui all’art. 9 del GDPR (dati sanitari, biometrici, relativi all’origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose, ecc.).
4. Fonte dei dati
I dati personali possono essere:
- forniti direttamente dall’interessato (compilazione moduli, comunicazione telefonica, email);
- acquisiti tramite piattaforme di lead generation (es. Facebook Lead Ads, Google Ads), nell’ambito di campagne pubblicitarie autorizzate dall’interessato.
Nel caso di dati acquisiti da fonti terze, il Titolare fornisce la presente informativa al primo contatto utile con l’interessato, e comunque entro un mese dalla raccolta, ai sensi dell’art. 14(3) del GDPR.
5. Finalità del trattamento e basi giuridiche
- Gestione del rapporto precontrattuale e contrattuale — gestione della richiesta commerciale, formulazione di preventivi, esecuzione del contratto.
Base giuridica: art. 6(1)(b) GDPR — esecuzione di un contratto o misure precontrattuali. Il conferimento è necessario; il rifiuto comporta l’impossibilità di gestire la richiesta. - Adempimento di obblighi di legge — adempimenti fiscali, contabili e di legge.
Base giuridica: art. 6(1)(c) GDPR — obbligo legale. - Marketing diretto — invio di comunicazioni commerciali e promozionali tramite email, SMS, telefono, messaggistica istantanea.
Base giuridica: consenso dell’interessato ai sensi dell’art. 6(1)(a) GDPR. Il consenso è facoltativo e può essere revocato in qualsiasi momento. - Comunicazione a terzi per finalità di marketing — comunicazione dei dati a partner commerciali per loro autonome attività promozionali.
Base giuridica: consenso dell’interessato ai sensi dell’art. 6(1)(a) GDPR. Il consenso è facoltativo e può essere revocato in qualsiasi momento. - Profilazione — analisi delle preferenze per la personalizzazione delle offerte commerciali. Non viene effettuato alcun processo decisionale interamente automatizzato ai sensi dell’art. 22 GDPR che produca effetti giuridici o incida significativamente sull’interessato.
Base giuridica: consenso dell’interessato ai sensi dell’art. 6(1)(a) GDPR. Il consenso è facoltativo e può essere revocato in qualsiasi momento.
6. Destinatari dei dati
I dati personali potranno essere comunicati a:
- Società del Gruppo Belly Button’s Greed S.R.L. (contitolari del trattamento)
- Consulenti fiscali, legali e contabili (responsabili esterni ex art. 28 GDPR)
- Fornitori di servizi IT, hosting e manutenzione (responsabili esterni ex art. 28 GDPR)
- Partner commerciali (solo previo specifico consenso dell’interessato)
- Autorità giudiziarie e amministrative competenti, ove previsto dalla legge
L’elenco aggiornato dei responsabili del trattamento è disponibile su richiesta scrivendo a privacy@bellybuttonsgreed.it.
7. Trasferimento dei dati all’estero
I dati personali sono trattati su server situati all’interno dell’Unione Europea.
Alcuni fornitori di servizi utilizzati dal Titolare (in particolare Meta Platforms, Inc. e Google LLC, nell’ambito delle attività di lead generation e pubblicità online) possono trasferire dati personali negli Stati Uniti d’America. Tali trasferimenti avvengono sulla base della decisione di adeguatezza della Commissione Europea del 10 luglio 2023 relativa al EU-US Data Privacy Framework (DPF), ai sensi dell’art. 45 del GDPR, in quanto i suddetti fornitori sono certificati nell’ambito del DPF.
Eventuali ulteriori trasferimenti verso Paesi terzi avverranno esclusivamente in conformità al Capo V del GDPR, sulla base di decisioni di adeguatezza, clausole contrattuali standard (SCC) approvate dalla Commissione Europea, o altre garanzie adeguate ai sensi degli artt. 46-49 GDPR.
8. Periodo di conservazione
- Dati contrattuali: per tutta la durata del rapporto contrattuale e per i successivi 10 anni (obblighi fiscali e tributari ex art. 2220 c.c.)
- Dati per marketing diretto: 24 mesi dall’ultimo contatto o fino a revoca del consenso, se anteriore (Provvedimento Garante 15 maggio 2013)
- Dati per profilazione: 12 mesi dall’ultimo consenso o fino a revoca, se anteriore (Provvedimento Garante 15 maggio 2013)
- Dati per cessione a terzi: 24 mesi dal consenso o fino a revoca, se anteriore
- Registri del consenso (audit trail): conservati per 10 anni dalla raccolta ai fini della dimostrazione della liceità del trattamento (art. 7(1) GDPR, art. 2946 c.c.)
- Dati di navigazione: cancellati entro 90 giorni dalla raccolta
9. Diritti dell’interessato
L’interessato può esercitare in qualsiasi momento i seguenti diritti, scrivendo a privacy@bellybuttonsgreed.it:
- Accesso (art. 15) — ottenere conferma del trattamento e copia dei dati
- Rettifica (art. 16) — aggiornare o correggere dati inesatti
- Cancellazione (art. 17) — richiedere la cancellazione nei casi previsti
- Limitazione (art. 18) — limitare il trattamento in determinati casi
- Portabilità (art. 20) — ricevere i dati in formato strutturato
- Opposizione (art. 21) — opporsi al trattamento per motivi legittimi
- Opposizione al marketing diretto (art. 21, comma 2) — opporsi in qualsiasi momento al trattamento per finalità di marketing diretto, inclusa la profilazione connessa. In caso di opposizione, i dati non saranno più trattati per tali finalità
- Revoca del consenso (art. 7, comma 3) — revocare in qualsiasi momento il consenso prestato, con la stessa facilità con cui è stato conferito. La revoca non pregiudica la liceità del trattamento basato sul consenso prestato prima della revoca
Il Titolare riscontrerà la richiesta senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento (prorogabile di ulteriori due mesi nei casi di particolare complessità, ai sensi dell’art. 12(3) GDPR).
10. Diritto di reclamo
L’interessato ha diritto di proporre reclamo all’autorità di controllo competente: Garante per la protezione dei dati personali, Piazza Venezia 11 — 00187 Roma — www.garanteprivacy.it — email: protocollo@gpdp.it — PEC: protocollo@pec.gpdp.it.
11. Trattamento dei dati di minori
I servizi offerti non sono destinati a minori di 14 anni. Il Titolare non raccoglie consapevolmente dati personali di soggetti di età inferiore ai 14 anni. L’interessato, compilando il modulo di consenso, dichiara di avere almeno 14 anni compiuti ai sensi dell’art. 8 del GDPR e dell’art. 2-quinquies del D.Lgs. 196/2003 (Codice Privacy).
12. Misure di sicurezza
Il Titolare adotta misure tecniche e organizzative adeguate ai sensi dell’art. 32 del GDPR per garantire un livello di sicurezza adeguato al rischio, tra cui: crittografia dei dati in transito (HTTPS/TLS), controllo degli accessi basato su ruoli, registrazione delle operazioni di trattamento (log), backup periodici, formazione del personale autorizzato al trattamento.
13. Natura del conferimento e conseguenze del rifiuto
Il conferimento dei dati contrassegnati come obbligatori (nome, cognome, telefono) è necessario per la gestione della richiesta commerciale: il rifiuto comporta l’impossibilità di dare seguito alla richiesta. I consensi per marketing diretto, cessione a terzi e profilazione sono facoltativi: il loro rifiuto non pregiudica in alcun modo l’erogazione del servizio né la gestione della richiesta.