Informativa sulla privacy

Questa informativa spiega quali dati personali tratta Pick the Wish (pickthewish.it), perché, per quanto tempo e come puoi controllarli (artt. 13 e 14 del Regolamento UE 2016/679, "GDPR").

1. Chi è il titolare del trattamento

Il titolare è Gianni Buttaro, persona fisica, che gestisce il sito a titolo personale, con indirizzo in via Elio Vittorini, 110 - 00144 - Roma.

Per qualsiasi richiesta sui tuoi dati scrivi a support@pickthewish.it.

2. Quali dati trattiamo

• Dati dell'account: nome, indirizzo email, data di nascita, password (conservata solo in forma cifrata e irreversibile), lingua scelta, data e versione dell'accettazione delle condizioni.
• Accesso con Google (facoltativo): se scegli "Continua con Google" riceviamo da Google solo il tuo nome, l'indirizzo email (già confermato) e un identificativo del tuo account Google; non riceviamo la foto, i contatti né altri dati, e non pubblichiamo nulla sul tuo account Google. Alla registrazione scegli comunque una password: puoi poi accedere sia con Google sia con l'email, e la password serve a confermare la cancellazione dell'account. Google tratta i tuoi dati come titolare autonomo, secondo la propria informativa; non è un nostro fornitore e non tratta dati per nostro conto. Puoi cancellare l'account in qualsiasi momento, confermandola con la password.
• Contenuti che inserisci: regali desiderati (titolo, note, prezzo, link, negozio, foto), eventi e occasioni, amicizie e, se vuoi, una foto del profilo e un link di invito personale (con l'eventuale indicazione di chi ti ha invitato).
• Accesso del gestore: il gestore del sito apre i contenuti e i dati di una persona solo per ragioni precise: valutare una segnalazione, correggere un errore tecnico, garantire la sicurezza, rispondere a una richiesta dell'autorità o dell'interessato. Non consulta per curiosità le liste, le prenotazioni o i desideri privati. Dalle pagine di gestione vede solo conteggi, registro degli errori, segnalazioni e i dati dell'account (nome, email, data di iscrizione); non può cercare tra i desideri e non vede chi ha prenotato un regalo. Le decisioni prese (cosa, quando, perché) sono annotate in un registro interno, per poterle spiegare se contestate.
• Inviti alla versione di prova: se ti invito a provare il sito conservo il tuo indirizzo email (e un promemoria con il tuo nome, se lo scrivo), la data dell'invito e quante volte te l'ho mandato, per un massimo di 180 giorni; li uso solo per invitarti e per permetterti di registrarti. Puoi chiedermi di cancellarli scrivendo al contatto.
• Copie di sicurezza: ogni notte il sito fa una copia cifrata del database, per poterlo ripristinare se qualcosa si rompe, e la tiene al massimo 7 giorni. Se cancelli l'account i tuoi dati scompaiono subito dal sito, ma restano nelle copie fino a 7 giorni al massimo. Per rispettare la tua cancellazione anche se un giorno si ripristina una copia, il sito annota per 14 giorni, in un file separato, solo la data della cancellazione, un numero interno dell'account e la data in cui era stato creato: niente nome, email o altri dati. Le copie sono accessibili solo al gestore.
• Cancellazione automatica: le segnalazioni gestite si cancellano dopo 12 mesi, il registro interno delle decisioni dopo 24 mesi, gli account che non hanno mai confermato l'email dopo 30 giorni.
• Sospensione e assistenza: se un account viene sospeso, i dati restano e non si può usare il sito; ti scriviamo il motivo. Puoi in qualsiasi momento cancellare l'account o avere una copia dei dati, anche da sospeso. Su tua richiesta, e dopo aver verificato che sei tu, il gestore può reinviarti l'email di conferma o il link per la password, oppure, se non puoi usare la pagina Account (per esempio perché l'account è sospeso), prepararti una copia dei tuoi dati dal server. Se il gestore ti scrive un messaggio di assistenza, oltre all'email lo vedi come avviso nella home finché non premi «Ho capito»: a quel punto si cancella, e comunque dopo 90 giorni.
• Segnalazioni: se segnali un contenuto conserviamo il tuo account (se non sei registrato, nome ed email che scrivi nel modulo), il contenuto segnalato e il motivo che scrivi, per valutare la segnalazione e risponderti. Nome ed email di chi non è registrato servono solo a questo. La persona segnalata non viene a sapere chi ha segnalato.
• Prenotazioni e consegne: i regali che prenoti o acquisti per un amico, la data di consegna scelta, le tue risposte ("l'ho consegnato", "non lo consegnerò più"), la conferma di ricezione di chi riceve, se ha scelto di vedere il tuo nome o di renderlo di nuovo prenotabile (in quel caso ti resta un avviso in «Da consegnare», con il titolo del regalo, finché premi «OK») e, per chi ha rinunciato, il blocco su quel desiderio.
• Numero massimo di amici: un numero (il tuo record di amici avuti contemporaneamente) che serve a calcolare quanti desideri puoi avere in lista. Non salviamo quali amici l'hanno fatto salire.
• Importazione da link: se incolli il link di un prodotto, il nostro server apre quella pagina una volta per leggere titolo, descrizione, prezzo e foto. Il link e i dati letti non vengono conservati oltre al desiderio che decidi di salvare; una foto importata e non usata viene cancellata alla successiva importazione o con l'account. Il negozio vede l'indirizzo IP del nostro server, non il tuo.
• Dati di sessione: identificativo di sessione, indirizzo IP e browser, salvati per tenerti collegato e cancellati alla scadenza della sessione.
• Dati tecnici: indirizzo IP, data e ora, tipo di browser e pagine richieste, registrati dal server per sicurezza e funzionamento; cookie tecnici (vedi l'informativa sui cookie).
• Email di servizio: conferma dell'indirizzo, recupero password.
• Email facoltative: le email su un regalo che stai comprando (promemoria, consegna, avvisi quando un desiderio che hai prenotato cambia o viene eliminato), il riepilogo del lunedì (eventi delle due settimane successive, regali da comprare, richieste di amicizia) e gli avvisi sulle richieste di amicizia. Sono attive di default e le disattivi in qualsiasi momento dalla pagina Account o dal link in fondo a ogni messaggio. Ti mandiamo solo informazioni sul funzionamento del servizio, non pubblicità. La base giuridica è l'esecuzione del servizio che hai richiesto.

Non raccogliamo categorie particolari di dati (salute, opinioni, ecc.). Ti chiediamo di non inserirne nelle note dei regali.

3. Perché li trattiamo e su quale base

Finalità	Base per chi ha 18 anni o più	Base per chi ha 14–17 anni
Creare e gestire il tuo account, mostrare la tua lista agli amici, gestire prenotazioni, consegne e avvisi richiesti dal servizio	Esecuzione del contratto (art. 6.1.b GDPR)	Consenso del minore (art. 6.1.a; art. 8 GDPR; art. 2-quinquies Codice privacy)
Sicurezza del sito, prevenzione di abusi e accessi non autorizzati, registri tecnici	Legittimo interesse del titolare (art. 6.1.f)	Legittimo interesse del titolare (art. 6.1.f)
Rispondere a richieste delle autorità o adempiere a obblighi di legge	Obbligo di legge (art. 6.1.c)	Obbligo di legge (art. 6.1.c)
Ricevere ed esaminare segnalazioni di contenuti illeciti o contrari alle condizioni, rispondere a chi segnala, comunicare le decisioni	Obbligo di legge (art. 6.1.c; Reg. UE 2022/2065) e legittimo interesse a un servizio sicuro (art. 6.1.f)	Obbligo di legge (art. 6.1.c; Reg. UE 2022/2065) e legittimo interesse a un servizio sicuro (art. 6.1.f)
Assistenza (reinvio dell'email di conferma, link per la password, copia dei dati se non puoi scaricarla dall'account)	Esecuzione del contratto (art. 6.1.b) e legittimo interesse (art. 6.1.f)	Consenso del minore (art. 6.1.a) e legittimo interesse (art. 6.1.f)
Sospensione di account che violano le regole	Legittimo interesse a un servizio sicuro (art. 6.1.f)	Legittimo interesse a un servizio sicuro (art. 6.1.f)
Registro interno delle decisioni del gestore, conservato 24 mesi, per dimostrare cosa è stato deciso e perché	Legittimo interesse alla difesa dei propri diritti e alla responsabilità (art. 6.1.f)	Legittimo interesse alla difesa dei propri diritti e alla responsabilità (art. 6.1.f)
Verifica dell'età minima con la data di nascita	Esecuzione del contratto (art. 6.1.b)	Consenso del minore (art. 6.1.a; art. 8 GDPR; art. 2-quinquies Codice privacy)
Avvisi tecnici al gestore su errori del sito (con l'identificativo dell'utente coinvolto)	Legittimo interesse alla sicurezza e al funzionamento (art. 6.1.f)	Legittimo interesse alla sicurezza e al funzionamento (art. 6.1.f)

Non facciamo pubblicità, non vendiamo i tuoi dati e non li usiamo per profilarti. Se in futuro vorremo inviarti comunicazioni promozionali, lo faremo solo con il tuo consenso separato.

Il legittimo interesse lo usiamo solo per sicurezza, prevenzione degli abusi, protezione del sito e moderazione, dopo aver valutato che non prevale sui tuoi diritti. Le email facoltative sono di servizio (non pubblicità) e le disattivi in qualsiasi momento.

Consenso e minori. Per chi ha almeno 18 anni il servizio si basa sul contratto: la casella della registrazione è l'accettazione delle condizioni e la presa visione di questa informativa. Per chi ha tra 14 e 17 anni i dati necessari al servizio si trattano con il consenso del minore (art. 2-quinquies del Codice privacy): compare una seconda casella, che spieghiamo in parole semplici. Puoi ritirare il consenso quando vuoi eliminando l'account dalla pagina Account: così il servizio finisce, perché senza i tuoi dati non possiamo offrirtelo (non cambia ciò che è stato fatto prima).

4. Chi vede i tuoi dati

• I tuoi amici (solo chi ha accettato l'amicizia) vedono il tuo nome e la tua foto del profilo, i desideri della tua lista con gli eventi a cui li hai collegati, gli eventi che inserisci (titolo, giorno e mese) e se un desiderio è già preso. Gli eventi e i desideri che segni come privati li vedi solo tu: nessun amico può vederli né, nel caso dei desideri, prenotarli. Non vedono la tua email né l'anno di nascita.
• Chi riceve un regalo non vede chi l'ha prenotato, né sa che è prenotato, a meno che non scelga di chiedere lo stato (con conferma). Il tuo nome può essere mostrato solo se il regalo non arriva: se hai dichiarato di aver consegnato e chi lo desidera risponde che non è arrivato, o dal giorno dopo la data di consegna se non è stato consegnato (anche se poi lo consegni, finché non è confermato), può scegliere di vederlo. In quel caso ti avvisiamo. Ti informiamo di questa possibilità quando prenoti e quando dichiari di aver consegnato. Chi desidera un regalo vede solo il proprio elenco.
• Se chi desidera un regalo lo elimina mentre è prenotato, i dati di quel desiderio (titolo, note, foto, link) restano visibili solo a chi l'ha prenotato finché la consegna non si chiude; poi vengono cancellati.
• Chiunque abbia il tuo link di invito, se lo attivi, vede solo il tuo nome, la tua foto e quanti desideri hai: mai la lista, l'email o la data di nascita. La pagina non è indicizzata dai motori di ricerca e puoi disattivare il link in qualsiasi momento dalla pagina Amici.
• Fornitori che trattano i dati per nostro conto (responsabili del trattamento): Aruba S.p.A. (hosting del sito e del database) e Brevo (invio delle email di servizio). Sono vincolati da un contratto (art. 28 GDPR) che li obbliga a trattare i dati solo secondo le nostre istruzioni.
• Autorità, solo se la legge lo richiede.

Le foto dei regali e dei profili sono accessibili tramite un indirizzo web lungo e non indovinabile; non sono indicizzate dai motori di ricerca, ma chiunque conosca l'indirizzo esatto può aprirle.

5. Trasferimenti fuori dall'Unione Europea

I dati sono conservati su server situati nello Spazio Economico Europeo e non li trasferiamo fuori dallo SEE. Se in futuro un fornitore dovesse trattarli fuori dallo SEE, lo faremo solo con garanzie adeguate (decisione di adeguatezza o clausole contrattuali standard) e aggiorneremo questa informativa.

6. Per quanto tempo li conserviamo

• I dati dell'account e i contenuti restano finché mantieni l'account. Quando lo elimini, li cancelliamo subito dal sito, comprese le foto.
• I registri tecnici del server sono conservati per al massimo 30 giorni.
• Le copie di sicurezza (backup) del database si cancellano da sole dopo 7 giorni al massimo, dopodiché i dati cancellati scompaiono anche da lì. Il registro minimo delle cancellazioni (data, numero interno e data di creazione dell'account) si conserva 14 giorni.
• Se la legge o un'esigenza di difesa in giudizio lo richiede, possiamo conservare i dati strettamente necessari per il tempo richiesto.

7. I tuoi diritti

Puoi in ogni momento:

• accedere ai tuoi dati e scaricarne una copia in formato leggibile: dalla pagina Account;
• cancellare il tuo account e tutti i dati: dalla stessa pagina;
• chiedere la rettifica dei dati inesatti, la limitazione del trattamento o opporti al trattamento basato sul legittimo interesse, scrivendo a support@pickthewish.it;
• presentare un reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Rispondiamo entro un mese dalla richiesta. Per tutelare te e gli altri utenti, potremmo chiederti di dimostrare la tua identità.

8. Conferimento dei dati e decisioni automatizzate

Nome, email, data di nascita e password sono necessari per creare l'account: senza, non possiamo offrirti il servizio. La data di nascita serve a verificare l'età minima (14 anni), a sapere se ti serve l'accordo dei 14–17 anni e a creare il tuo compleanno tra gli eventi.

Il sito invia avvisi automatici (promemoria, domande sulla consegna) secondo regole fisse e uguali per tutti. Non prende decisioni automatizzate che producano effetti giuridici su di te e non assegna punteggi di affidabilità.

9. Minori

Il servizio è rivolto a chi vive in Italia, dove il consenso digitale vale dai 14 anni (art. 2-quinquies del Codice privacy): alla registrazione ti chiediamo dove vivi, senza salvare la risposta, e chi vive in un altro paese non può registrarsi. È riservato a chi ha almeno 14 anni. Fino a 17 anni, i dati necessari al servizio si trattano con il consenso del minore (art. 2-quinquies del Codice privacy; art. 8 GDPR), spiegato in parole semplici nella casella della registrazione e ritirabile eliminando l'account. Il consenso riguarda i dati personali: la validità delle condizioni d'uso con un minore dipende dalle regole del codice civile, che questa informativa non cambia. Se scopriamo che un account appartiene a una persona più giovane di 14 anni, lo eliminiamo.

10. Sicurezza

Usiamo connessioni cifrate (HTTPS), password cifrate in modo irreversibile, limiti ai tentativi di accesso e accessi riservati ai soli dati necessari. Nessun sistema è sicuro al cento per cento: in caso di violazione dei dati che ti riguardi avviseremo te e il Garante nei casi e nei tempi previsti dalla legge.

11. Modifiche

Se cambiamo questa informativa in modo importante, ti avvisiamo via email o sul sito prima che le modifiche abbiano effetto. La data in alto indica l'ultimo aggiornamento.