1. Oggetto e documenti applicabili
La presente informativa integra le informazioni sul trattamento dei dati personali collegato a ebralto.com e descrive come esercitare i diritti previsti dal Regolamento (UE) 2016/679, denominato GDPR.
Si applicano inoltre il D.Lgs. 196/2003, come modificato, la Direttiva 2002/58/CE e le disposizioni italiane pertinenti in materia di comunicazioni elettroniche, cookie e strumenti di tracciamento.
Il documento deve essere letto insieme all’Informativa sulla privacy e all’Informativa sui cookie.
Nessuna disposizione riduce i diritti riconosciuti agli interessati dalla normativa applicabile.
2. Informazioni principali
Le informazioni sul titolare, sulle finalità, sulle basi giuridiche, sulla conservazione e sui diritti sono sviluppate nelle rispettive sezioni del presente documento.
3. Trattamenti interessati
L’informativa riguarda i dati utilizzati per navigazione, ordini, pagamenti, rimborsi, spedizioni, consegne, resi, assistenza, garanzia legale, sicurezza, prevenzione delle frodi, adempimenti contabili e fiscali, gestione delle preferenze e controversie.
Comprende inoltre l’eventuale utilizzo di strumenti di analisi o marketing, esclusivamente quando ricorrono i presupposti necessari.
I trattamenti possono riguardare persone in Italia, nell’Unione europea o nello Spazio economico europeo. Il GDPR si applica secondo i propri criteri territoriali e materiali, non soltanto in base alla cittadinanza dell’interessato.
I dati possono essere gestiti mediante sistemi informatici e, quando necessario, archivi cartacei organizzati.
4. Titolare e recapiti
Ebralto è il nome utilizzato dal sito ebralto.com.
Per questioni relative ai dati personali è possibile utilizzare l’indirizzo 830 Townview Dr, Saint Marys, OH 45885, US, il numero +1 (419) 354-6872 oppure l’e-mail service@ebralto.com.
L’e-mail consente di conservare una registrazione scritta della richiesta, ma non costituisce l’unico mezzo ammissibile.
Il titolare è il soggetto che determina finalità e mezzi del trattamento. Il nome commerciale e il recapito non sostituiscono la sua identificazione completa, che deve essere comunicata nell’Informativa sulla privacy e nelle altre informazioni obbligatorie.
5. Categorie di dati
5.1 Identità e contatti
Possono essere trattati nome, dati del destinatario, e-mail, telefono e indirizzi di fatturazione e consegna.
5.2 Ordini e assistenza successiva all’acquisto
Possono essere coinvolti numero dell’ordine, prodotti, quantità, importi, sconti, spese, stato dell’ordine e registrazioni di cancellazioni, restituzioni, sostituzioni, rimborsi e richieste di garanzia.
5.3 Pagamenti
Le informazioni disponibili possono comprendere metodo o circuito, stato, importo, valuta, identificativo della transazione, dati parzialmente oscurati della carta, preautorizzazioni e rimborsi.
I dati completi della carta vengono normalmente gestiti dal prestatore di pagamento utilizzato nella procedura di acquisto.
Non inviare tramite normale e-mail numeri completi delle carte, codici di sicurezza, password o codici temporanei di autenticazione.
5.4 Consegna
Possono essere trattati indirizzo, vettore, tracciamento, tentativi di consegna, attestazioni di ricezione e informazioni su smarrimenti, danni o rifiuti del pacco.
5.5 Assistenza
Possono essere trattati contenuto delle richieste, comunicazioni, fotografie o documenti forniti e informazioni necessarie a individuare l’ordine o verificare l’identità quando giustificato.
La menzione delle comunicazioni telefoniche non attesta la registrazione delle chiamate. Un’eventuale registrazione richiede informazione preventiva e una base giuridica appropriata.
5.6 Dati tecnici e navigazione
Possono comprendere indirizzo IP, dispositivo, sistema operativo, browser, data e ora, pagine consultate, registrazioni tecniche, dati di sessione e identificativi online.
Le tecnologie non necessarie possono raccogliere dati soltanto alle condizioni applicabili, compreso il consenso quando richiesto.
5.7 Preferenze e consensi
Possono essere conservati le scelte sui cookie, le autorizzazioni, le revoche, le iscrizioni o disiscrizioni promozionali e le informazioni necessarie a documentare quando e come sono state effettuate.
6. Provenienza dei dati
I dati possono essere forniti direttamente dall’interessato durante un acquisto, un pagamento, una richiesta di assistenza, una cancellazione, un reso, una domanda di garanzia o la gestione delle preferenze.
Altre informazioni possono essere generate durante la navigazione oppure ricevute dagli operatori effettivamente coinvolti, come prestatori di pagamento, banche, vettori, servizi tecnici, operatori di sicurezza o autorità legittimate.
Quando i dati non sono raccolti direttamente dall’interessato, devono essere fornite le informazioni richieste dall’articolo 14 GDPR, salvo le eccezioni applicabili.
7. Finalità e basi giuridiche
Ogni trattamento deve avere una finalità determinata e una base giuridica appropriata. Le basi seguenti riguardano le singole attività e non autorizzano impieghi indiscriminati.
7.1 Gestione dell’ordine e del contratto
I dati servono a ricevere e verificare l’ordine, gestire il pagamento, preparare e consegnare i prodotti e trattare cancellazioni, resi o rimborsi.
La base è l’esecuzione del contratto o l’adozione di misure precontrattuali richieste dall’interessato. Gli adempimenti obbligatori restano fondati sulle disposizioni pertinenti.
7.2 Sicurezza dei pagamenti e prevenzione delle frodi
Le informazioni possono essere utilizzate per verificare autorizzazioni, individuare anomalie, prevenire utilizzi non autorizzati e gestire contestazioni.
Le basi dipendono dall’operazione: esecuzione del contratto, obbligo di legge o legittimo interesse alla sicurezza, previa valutazione di necessità, proporzionalità e diritti dell’interessato.
7.3 Spedizioni, consegne e resi
I dati possono essere comunicati agli operatori logistici per preparare il trasporto, fornire il tracciamento, completare la consegna e gestire ritiri o anomalie.
La base principale è l’esecuzione del contratto, insieme agli obblighi applicabili in materia di tutela del consumatore.
7.4 Assistenza e garanzia legale
Le informazioni servono a rispondere alle richieste, verificare problemi e gestire i rimedi dovuti.
Il trattamento può fondarsi sull’esecuzione del contratto, sugli obblighi di garanzia e, per attività pertinenti, sul legittimo interesse a fornire assistenza o tutelare diritti.
7.5 Obblighi fiscali, contabili e controversie
I dati possono essere utilizzati per documenti fiscali, registrazioni contabili e risposte a richieste legittime delle autorità.
La base è l’obbligo di legge. La conservazione o l’utilizzo per accertare, esercitare o difendere diritti può fondarsi sul legittimo interesse, nei limiti necessari.
7.6 Sicurezza dei sistemi
Dati tecnici possono contribuire a proteggere account e sessioni, rilevare accessi anomali, prevenire abusi e risolvere errori.
La base può essere il legittimo interesse alla sicurezza, previa valutazione appropriata. Questo non sostituisce il consenso eventualmente richiesto per accedere al dispositivo o utilizzare determinate tecnologie.
7.7 Analisi e miglioramento
Gli strumenti di analisi non necessari richiedono consenso preventivo.
Un’esenzione è possibile soltanto quando ricorrono effettivamente tutte le condizioni previste per il trattamento tecnico o statistico limitato. La denominazione “analytics” non è sufficiente a determinarla.
7.8 Marketing
Le comunicazioni promozionali possono essere inviate dopo un consenso valido oppure entro una specifica eccezione prevista dalla legge.
Per l’e-mail di clienti già acquisiti, l’eccezione dell’articolo 130, comma 4, del Codice privacy riguarda propri prodotti o servizi analoghi, con informazione e possibilità di opposizione gratuita e agevole fin dalla raccolta e in ogni messaggio.
L’interessato può revocare il consenso o opporsi al marketing in qualsiasi momento. Il legittimo interesse non costituisce un’autorizzazione generale all’invio di e-mail promozionali.
8. Obbligatorietà e facoltatività dei dati
Alcune informazioni sono necessarie per ricevere ed eseguire l’ordine, gestire pagamenti, consegne e richieste oppure adempiere a obblighi normativi.
L’assenza di dati indispensabili può impedire l’attività specifica. Devono essere richieste soltanto informazioni effettivamente pertinenti.
Marketing e tecnologie non necessarie sono facoltativi. Il rifiuto o la revoca del relativo consenso non impedisce il normale acquisto o l’accesso alle funzioni essenziali.
9. Destinatari
Nei limiti necessari, i dati possono essere comunicati a fornitori di piattaforme, hosting, servizi tecnici, pagamenti, sicurezza, logistica, assistenza e comunicazione.
Possono inoltre essere coinvolti consulenti contabili, fiscali, legali o assicurativi e autorità competenti. Analisi e pubblicità richiedono i presupposti pertinenti, compreso il consenso quando necessario.
Un’eventuale comunicazione nell’ambito di un’operazione aziendale deve avere una base giuridica, rispettare la minimizzazione e soddisfare gli obblighi di trasparenza.
I soggetti che operano per conto del titolare devono essere disciplinati da accordi conformi all’articolo 28 GDPR. Altri operatori possono agire come titolari autonomi per le attività effettivamente determinate da loro.
La categoria del servizio non determina automaticamente il ruolo privacy.
10. Conservazione
I dati vengono conservati per il tempo necessario alla finalità e agli obblighi applicabili.
Gli ordini e i documenti contrattuali possono essere mantenuti per l’esecuzione e per gli adempimenti fiscali, contabili o civili pertinenti. I documenti soggetti a conservazione decennale vengono mantenuti secondo la legge, senza applicare automaticamente lo stesso termine a tutti i dati.
Pagamenti, rimborsi, reclami e garanzie vengono conservati per i periodi giustificati dalla gestione e dalle eventuali pretese. Le registrazioni tecniche devono avere durate limitate e proporzionate.
I dati promozionali non vengono più utilizzati per marketing dopo revoca od opposizione. Possono rimanere informazioni minime necessarie a rispettare la disiscrizione e dimostrare le scelte effettuate.
Le durate dei cookie devono essere indicate nell’Informativa sui cookie e nell’elenco tecnico pertinente.
Alla scadenza i dati vengono cancellati o resi effettivamente anonimi. Eventuali conservazioni ulteriori devono avere una giustificazione specifica e accessi limitati.
11. Trasferimenti fuori dallo Spazio economico europeo
Il recapito di corrispondenza è negli Stati Uniti. Alcuni operatori o sistemi possono trovarsi fuori dallo Spazio economico europeo oppure consentire accessi da Paesi terzi.
Quando si configura un trasferimento soggetto al GDPR, occorre un meccanismo valido, come una decisione di adeguatezza o garanzie appropriate, comprese clausole contrattuali tipo o norme vincolanti d’impresa quando applicabili.
Il ricorso al quadro UE-USA richiede un destinatario effettivamente certificato per il trattamento interessato e l’applicabilità del meccanismo. Non viene dichiarata alcuna certificazione di Ebralto.
Le deroghe dell’articolo 49 GDPR sono limitate ai rispettivi presupposti e non sostituiscono le garanzie per trasferimenti ordinari e continuativi.
Quando necessario devono essere valutati i rischi e adottate misure supplementari, come cifratura, minimizzazione e limitazioni di accesso.
Per informazioni sulle garanzie effettive e per richiederne copia, fatti salvi gli oscuramenti necessari, è possibile scrivere a service@ebralto.com.
12. Cookie e tecnologie analoghe
Gli strumenti effettivamente presenti possono comprendere tecnologie necessarie, di sicurezza, preferenza, analisi o marketing.
L’esenzione dal consenso vale soltanto nei presupposti di legge. Le funzioni non necessarie devono rimanere inattive fino a una scelta valida quando il consenso è richiesto.
L’utente deve poter rifiutare, accettare o personalizzare le categorie e modificare successivamente la scelta. Silenzio, scorrimento e semplice proseguimento della navigazione non costituiscono consenso.
Le informazioni specifiche sono contenute nell’Informativa sui cookie e negli strumenti di gestione pertinenti.
13. Verifiche automatizzate
Strumenti di pagamento o sicurezza possono analizzare coerenza dei dati, tentativi di pagamento, indirizzi, segnali tecnici e anomalie per valutare il rischio.
Queste verifiche non autorizzano automaticamente decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi.
Se viene utilizzata una decisione soggetta all’articolo 22 GDPR, devono sussistere i presupposti legali e devono essere fornite informazioni sulla logica utilizzata, sull’importanza e sulle conseguenze previste.
Devono essere garantiti, quando applicabili, intervento umano, possibilità di esprimere la propria opinione e contestazione della decisione.
La presente informativa non attesta l’impiego di uno specifico sistema decisionale.
14. Minori
Il servizio di acquisto autonomo è destinato a persone con la capacità necessaria a concludere il contratto.
Eventuali trattamenti relativi a minori devono rispettare le basi giuridiche e le cautele pertinenti. Non devono essere richiesti dati estranei alle finalità del servizio.
Se vengono rilevati dati trattati senza i presupposti necessari, devono essere adottate misure appropriate, comprese cancellazione o limitazione quando dovute.
15. Sicurezza
Devono essere adottate misure tecniche e organizzative adeguate alla natura dei dati, alle attività e ai rischi.
Possono comprendere connessioni cifrate, controlli di accesso, autenticazione, aggiornamenti, registrazioni di sicurezza, backup, recupero dei dati, supervisione dei fornitori e istruzioni alle persone autorizzate.
Nessun sistema garantisce sicurezza assoluta. Le misure devono essere riesaminate secondo i rischi e l’evoluzione tecnica.
Gli incidenti devono essere gestiti secondo il GDPR, comprese notifiche all’autorità e comunicazioni agli interessati quando richieste.
16. Diritti degli interessati
Alle condizioni previste dal GDPR, l’interessato può ottenere informazioni e accesso ai dati, rettifica, cancellazione, limitazione e portabilità.
Può opporsi ai trattamenti fondati sul legittimo interesse e, in qualsiasi momento, al marketing diretto, compresa la profilazione collegata.
Quando il trattamento dipende dal consenso, può revocarlo senza pregiudicare la liceità delle attività precedenti.
Sono inoltre applicabili le garanzie sulle decisioni automatizzate e i diritti di reclamo e tutela giudiziaria.
Questi diritti operano nei rispettivi presupposti. Una richiesta di cancellazione non elimina obblighi legali di conservazione o altre eccezioni previste dal GDPR.
17. Presentazione delle richieste
Le richieste possono essere inviate a service@ebralto.com oppure comunicate al numero +1 (419) 354-6872.
È utile indicare nome, diritto da esercitare, e-mail collegata e, se pertinente, numero dell’ordine o altre informazioni che consentano di individuare i dati.
Informazioni aggiuntive sull’identità possono essere richieste soltanto in presenza di ragionevoli dubbi e nella misura necessaria alla verifica. Non deve essere richiesto sistematicamente un documento quando non occorre.
L’esercizio dei diritti è normalmente gratuito. Per richieste manifestamente infondate o eccessive può essere applicato un contributo ragionevole o disposto un rifiuto soltanto alle condizioni previste dalla legge, con l’onere di giustificarne i presupposti.
18. Tempi di risposta
La risposta viene fornita senza ingiustificato ritardo e normalmente entro un mese dalla ricezione.
Se necessario per complessità o numero delle richieste, il termine può essere prorogato di altri due mesi. L’interessato deve essere informato entro il primo mese, con indicazione dei motivi.
Se non viene dato seguito alla richiesta, devono essere comunicati entro il termine applicabile i motivi e la possibilità di presentare reclamo o ricorrere all’autorità giudiziaria.
19. Reclamo all’autorità
Chi ritiene che il trattamento violi la normativa può presentare reclamo al Garante per la protezione dei dati personali o all’altra autorità competente, in particolare nel luogo di residenza abituale, di lavoro o della presunta violazione.
Non è obbligatorio rivolgersi prima a Ebralto. Il reclamo non pregiudica gli altri rimedi amministrativi o giudiziari disponibili.
20. Responsabile della protezione dei dati
La designazione di un responsabile della protezione dei dati, o DPO, è obbligatoria quando ricorrono le condizioni dell’articolo 37 GDPR.
Se designato, i suoi recapiti devono essere resi disponibili nell’Informativa sulla privacy e comunicati all’autorità secondo la legge.
La presente pagina non dichiara una nomina non documentata. Le richieste possono essere inviate a service@ebralto.com, senza che tale recapito sia presentato come quello di un DPO.
21. Rappresentante nell’Unione europea
Se il trattamento è soggetto all’articolo 3, paragrafo 2, GDPR e non ricorre un’eccezione dell’articolo 27, deve essere designato per iscritto un rappresentante nell’Unione europea.
La sua identità e i suoi recapiti devono essere comunicati agli interessati secondo gli obblighi di informazione.
La presente pagina non attribuisce tale incarico a un soggetto non identificato. Il recapito statunitense non costituisce una designazione di rappresentante europeo e non sostituisce l’obbligo quando applicabile.
22. Contatti privacy e orari
Per questioni su dati personali, cookie, consensi o diritti è possibile utilizzare l’indirizzo 830 Townview Dr, Saint Marys, OH 45885, US, il numero +1 (419) 354-6872 oppure l’e-mail service@ebralto.com.
L’assistenza è disponibile dal lunedì al venerdì dalle 09:00 alle 18:00 e il sabato dalle 09:00 alle 16:00, secondo l’ora dell’Europa centrale CET/CEST.
Gli orari non modificano i termini legali per rispondere alle richieste.
23. Aggiornamenti
Il documento può essere aggiornato per modifiche normative, variazioni dei trattamenti o dei fornitori, aggiornamenti di sicurezza, tecnologie differenti o nuove modalità di gestione dei diritti.
La versione aggiornata viene pubblicata sul sito con la relativa data.
Le modifiche non pregiudicano i diritti già acquisiti. Quando una nuova attività richiede informazioni preventive o un nuovo consenso, la sola pubblicazione della pagina non sostituisce tali adempimenti.