Privacy Policy

INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

(Privacy Policy ai sensi degli Articoli 13 e 14 del Regolamento Generale sulla Protezione dei Dati UE 2016/679)

Ultimo aggiornamento: 16 ottobre 2026

PREMESSA E PRINCIPI GENERALI

La presente Informativa sulla Privacy (di seguito, "Privacy Policy") descrive in modo dettagliato, trasparente e strutturato le modalità di raccolta, registrazione, conservazione, utilizzo, comunicazione e protezione dei dati personali trattati attraverso la consultazione del sito web www.erbariotoscano.it (di seguito, il "Sito") e la fruizione dei servizi commerciali e digitali ad esso collegati.

Il trattamento dei dati personali degli utenti, clienti e visitatori (di seguito cumulativamente definiti "Interessati") è improntato ai principi fondamentali sanciti dall'Articolo 5 del Regolamento (UE) 2016/679 ("GDPR"):

Liceità, correttezza e trasparenza: i dati sono trattati esclusivamente in presenza di un idoneo presupposto giuridico e con la massima chiarezza informativa verso l'Interessato;

Limitazione della finalità: i dati sono raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali scopi;

Minimizzazione dei dati: i dati raccolti sono adeguati, pertinenti e limitati a quanto strettamente necessario rispetto alle finalità del trattamento;

Esattezza: i dati sono tempestivamente aggiornati e, ove inesatti, rettificati o cancellati;

Limitazione della conservazione: i dati sono conservati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono stati raccolti, fatti salvi specifici obblighi di legge;

Integrità e riservatezza: il trattamento è condotto garantendo un'adeguata sicurezza dei dati personali, compresa la protezione da trattamenti non autorizzati o illeciti e dalla perdita, distruzione o danno accidentale, mediante misure tecniche e organizzative adeguate;

Responsabilizzazione (Accountability): il Titolare del trattamento adotta procedure documentate idonee a comprovare la piena conformità di ogni operazione di trattamento alle disposizioni applicabili.

1. TITOLARE DEL TRATTAMENTO DEI DATI E DATI DI CONTATTO

Il Titolare del trattamento dei dati personali è la persona giuridica che determina le finalità e i mezzi del trattamento:

Denominazione sociale: Aymara Italia S.r.l.

Sede legale e operativa: Via dei Ghivizzani N°61, 55041 Capezzano Pianore (Lucca), Italia

Codice Fiscale e Partita IVA: 02157120466

Iscrizione Registro Imprese: CCIAA di Lucca

Indirizzo di posta elettronica certificata (PEC): erbariotoscano@legalmail.it

Indirizzo di posta elettronica per comunicazioni Privacy: privacy@erbariotoscano.it

Per l'esercizio dei diritti garantiti dalla legge o per qualsiasi richiesta di chiarimento circa le operazioni di trattamento dei dati personali, l'Interessato può rivolgersi direttamente al Titolare scrivendo ai recapiti sopra indicati.

2. QUADRO NORMATIVO E LEGALE DI RIFERIMENTO

La presente informativa e i trattamenti effettuati dal Titolare sono conformi al seguente impianto normativo:

Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati ("GDPR");

Decreto Legislativo 30 giugno 2003, n. 196 recante il "Codice in materia di protezione dei dati personali", come novellato e integrato dal Decreto Legislativo 10 agosto 2018, n. 101 di armonizzazione dell'ordinamento nazionale al GDPR;

Direttiva 2002/58/CE ("Direttiva ePrivacy"), come modificata dalla Direttiva 2009/136/CE, recepita nell'ordinamento italiano principalmente all'Articolo 122 del Codice Privacy (per i trattamenti connessi alle comunicazioni elettroniche e ai tracciatori);

Provvedimenti e Linee Guida del Garante per la Protezione dei Dati Personali italiano, con particolare riguardo alle:

Linee guida in materia di attività promozionale e contrasto allo spam del 4 luglio 2013 (doc. web n. 2540157);

Linee guida in materia di trattamento dei dati personali per profilazione online del 19 marzo 2015 (doc. web n. 3881513);

Linee guida cookie e altri strumenti di tracciamento del 10 giugno 2021 (doc. web n. 9677876);

Linee Guida del Comitato Europeo per la Protezione dei Dati (EDPB), tra cui:

Linee Guida 05/2020 sul consenso ai sensi del Regolamento (UE) 2016/679;

Linee Guida sulla trasparenza ai sensi del Regolamento (UE) 2016/679 (adottate dal Gruppo di Lavoro Art. 29 e fatte proprie dall'EDPB - WP260 rev.01);

Linee Guida sul Legittimo Interesse (Articolo 6, paragrafo 1, lettera f del GDPR);

Linee Guida in materia di notifica delle violazioni dei dati personali (Data Breach) ex Artt. 33 e 34 del GDPR;

Normativa applicabile agli utenti del Regno Unito (UK GDPR e Data Protection Act 2018): ove l'Interessato risieda nel Regno Unito, i trattamenti sono svolti in conformità ai requisiti equivalenti dell'UK GDPR, assistito dalla Decisione di Adeguatezza emessa dalla Commissione Europea il 28 giugno 2021 (e reciprocamente riconosciuta dal governo britannico), la quale certifica il livello equivalente di tutela per i flussi transfrontalieri di dati.

Precisazione sull'ambito di applicazione territoriale internazionale:

Aymara Italia S.r.l. è un'impresa costituita in Italia che gestisce una piattaforma e-commerce rivolta primariamente al mercato dell'Unione Europea e dello Spazio Economico Europeo. Il Titolare non dispone di stabilimenti negli Stati Uniti d'America, in Canada o in Brasile, e non supera le soglie dimensionali o di fatturato che impongono l'applicazione extraterritoriale esclusiva di statuti quali il California Consumer Privacy Act (CCPA / CPRA), il Personal Information Protection and Electronic Documents Act (PIPEDA) o la Lei Geral de Proteção de Dados (LGPD). Gli utenti che accedono al Sito da giurisdizioni extra-europee sono espressamente informati che i loro dati personali saranno trattati nei server e con gli standard di sicurezza previsti dalla legge dell'Unione Europea (GDPR), considerata a livello internazionale quale parametro apicale di garanzia della privacy.

3. TIPOLOGIE DI DATI PERSONALI RACCOLTI E TRATTATI

Il Titolare raccoglie unicamente le categorie di dati personali strettamente indispensabili per l'erogazione dei servizi del negozio online, la gestione dei rapporti commerciali e il rispetto degli obblighi di legge:

A. Dati di navigazione e informazioni tecniche

I sistemi informatici e le procedure software preposte al funzionamento del Sito acquisiscono, nel corso del loro normale esercizio, alcuni dati personali la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet. In questa categoria rientrano:

Gli indirizzi IP o i nomi a dominio dei computer e dei terminali utilizzati dagli utenti;

Gli indirizzi in notazione URI/URL (Uniform Resource Identifier/Locator) delle risorse richieste;

L'orario della richiesta, il metodo utilizzato nel sottoporre la richiesta al server, la dimensione del file ottenuto in risposta;

Il codice numerico indicante lo stato della risposta data dal server (buon fine, errore, ecc.);

Parametri relativi al sistema operativo, al browser e all'ambiente informatico dell'utente;

Codici identificativi di sessione generati dall'infrastruttura di commercio elettronico (ad esempio tramite Shopify).

B. Dati anagrafici e di contatto forniti volontariamente per acquisti e ordini

In occasione della predisposizione e del perfezionamento di ordini di acquisto sul negozio elettronico, vengono acquisiti:

Nome, cognome, ragione sociale (qualora si richieda fattura commerciale);

Codice Fiscale e/o Partita IVA;

Indirizzo di residenza o domicilio per la spedizione dei beni fisici;

Indirizzo di fatturazione;

Indirizzo di posta elettronica e numero di telefono (fisso o mobile, utile per comunicazioni relative allo stato dell'ordine o per il recapito da parte dei corrieri espressi).

C. Dati relativi ai pagamenti e alle transazioni

I pagamenti degli acquisti sul Sito avvengono tramite l'intermediazione di circuiti bancari e primari gateway di pagamento autorizzati (quali Shopify Payments, PayPal, Shop Pay o sistemi di pagamento tramite carta di credito/debito).

Sicurezza dei pagamenti: Il Titolare non raccoglie né memorizza in alcun modo i numeri completi delle carte di credito/debito, i codici CVV/CVC o le credenziali di accesso ai conti bancari degli utenti. Tali informazioni sono trattate in modalità cifrata esclusivamente dagli istituti bancari e dagli intermediari di pagamento in conformità ai rigidi standard di sicurezza internazionali PCI-DSS (Payment Card Industry Data Security Standard). Al Titolare vengono comunicati unicamente il riscontro dell'avvenuta transazione (ID transazione, data, ora, esito positivo o negativo, importo) e, ove applicabile, la tipologia di carta utilizzata e le ultime quattro cifre della stessa per finalità di riscontro contabile o gestione rimborsi.

D. Dati dell'account registrato (Area Riservata)

Qualora l'utente decida di creare un account personale sul Sito per velocizzare gli acquisti futuri, sono trattati:

Indirizzo email di registrazione;

Codici di accesso monouso (One-Time Password - OTP) a validità temporanea, trasmessi via email per l'autenticazione. L'account è privo di password statica: a ogni accesso il sistema verifica la titolarità della casella di posta elettronica mediante l'invio di un codice temporaneo;

Storico degli ordini effettuati, lista dei prodotti preferiti o salvati nel carrello, indirizzi di spedizione multipli registrati dall'utente.

E. Dati per comunicazioni promozionali, iscrizione alla Newsletter

In caso di iscrizione spontanea alla newsletter commerciale di Erbario Toscano:

Indirizzo di posta elettronica;

Data, ora, indirizzo IP e canale di registrazione (modulo pop-up, footer, fase di checkout) a fini di registrazione della prova del consenso (Accountability);

Dati relativi alle interazioni con le email trasmesse (clic sui collegamenti ipertestuali interni), raccolti tramite la piattaforma di invio comunicazioni (Mailchimp/Intuit). Precisasi che il Titolare non rileva né tratta in alcun modo dati attinenti all'apertura dei messaggi, il relativo tracciamento essendo disattivato a livello di piattaforma di invio.

F. Dati forniti tramite il servizio di Customer Care e Form di contatto

Informazioni personali inviate spontaneamente dall'utente tramite moduli di richiesta informazioni, comunicazioni via posta elettronica a amministrazione@erbariotoscano.it, messaggi telefonici o canali di chat/assistenza post-vendita (richieste su fragranze, spedizioni, resi, resoconti di anomalie).

G. Marcatori digitali, cookie e web storage

Dati raccolti tramite strumenti di tracciamento tecnici, funzionali, statistici o di profilazione (cookie, archiviazione locale localStorage/sessionStorage, web pixel Shopify, script Meta, tag Google Tag Manager). Per la disciplina analitica di questi trattamenti si rimanda integralmente alla Cookie Policy del Sito.

4. FINALITÀ DEL TRATTAMENTO, BASI GIURIDICHE E TEMPI DI CONSERVAZIONE (DATA RETENTION)

Il trattamento dei dati personali dell'Interessato risponde a finalità precise e predeterminate. Di seguito si riporta la matrice organica dei trattamenti:

5. MODALITÀ DI RACCOLTA DEL CONSENSO PER IL MARKETING E DOUBLE OPT-IN

In adempimento ai principi di correttezza e responsabilizzazione sanciti dall'Articolo 7 del GDPR e all'Articolo 130 del Codice Privacy, il Titolare adotta procedure certificate per la raccolta del consenso alle comunicazioni commerciali:

1. Assenza di caselle pre-spuntate (No Pre-Ticked Boxes): Nessun consenso all'invio di newsletter o a finalità di profilazione è pre-selezionato. L'adesione richiede sempre una manifestazione di volontà positiva ed esplicita dell'Interessato.

2. Procedura di Double Opt-In (Doppia Conferma): Qualora l'utente inserisca il proprio indirizzo email nei form di iscrizione alla Newsletter, il sistema genera un'email transazionale contenente un collegamento di attivazione univoco. L'iscrizione effettiva al database di marketing si perfeziona esclusivamente nel momento in cui l'utente clicca sul pulsante di conferma ricevuto nella propria casella di posta, attestando in modo inequivocabile la titolarità dell'indirizzo email fornito ed evitando registrazioni illecite operate da terzi non autorizzati.

3. Distinzione tra verifica dell'account e consenso promozionale: La verifica dell'indirizzo email tramite codice monouso, richiesta a ogni accesso all'area clienti, attesta esclusivamente la titolarità della casella di posta ai fini dell'utilizzo dell'account e non costituisce né sostituisce il consenso alle comunicazioni commerciali. Il consenso al marketing è raccolto unicamente mediante la casella di selezione volontaria (punto 1) e la successiva procedura di Double Opt-In di cui al punto 2.

4. Registro dei Consensi: Il Titolare e il fornitore della piattaforma di automazione email (Mailchimp/Intuit) archiviano in un log protetto la data, l'orario, l'indirizzo IP, il modulo sorgente e la versione del testo contrattuale accettato, a valore di prova legale della conformità del consenso.

5. Semplicità di Revoca (Unsubscribe con un clic): Ogni comunicazione inviata contiene all'interno del proprio piè di pagina (footer) un collegamento ipertestuale visibile e accessibile mediante il quale l'Interessato può disiscriversi all'istante dalla lista d'invio, interrompendo con effetto immediato le comunicazioni promozionali senza alcun onere o costo aggiuntivo.

6. MODALITÀ DEL TRATTAMENTO E MISURE DI SICUREZZA DEI DATI

Il trattamento dei dati personali è svolto con l'ausilio di strumenti elettronici, informatici e telematici, nonché, in via residuale e limitata agli adempimenti fiscali e di magazzino, mediante supporti cartacei, secondo logiche correlate alle finalità indicate e con modalità atte a garantire la sicurezza, l'integrità e la riservatezza delle informazioni.

In conformità a quanto prescritto dall'Articolo 32 del GDPR, Aymara Italia S.r.l. ha implementato adeguate misure di sicurezza tecniche e organizzative volte a prevenire la perdita dei dati, usi illeciti o non corretti, accessi non autorizzati o alterazioni:

Protocolli di Cifratura: Tutte le comunicazioni e le transazioni sul Sito sono instradate attraverso il protocollo crittografico avanzato Transport Layer Security (TLS / SSL a 256 bit), che garantisce la protezione dei dati trasmessi tra il browser dell'utente e i server del Sito;

Standard PCI-DSS: I flussi finanziari sono segregati e gestiti esclusivamente da gateway certificati Payment Card Industry Data Security Standard Livello 1, impedendo qualsiasi memorizzazione interna di coordinate bancarie vulnerabili;

Autenticazione e Segregazione dei Privilegi: L'accesso ai database gestionali, alla piattaforma di commercio elettronico e ai sistemi di mailing è protetto da sistemi di autenticazione a più fattori (Multi-Factor Authentication - MFA) e autorizzato sulla base del principio del "minimo privilegio" (Need-to-Know basis), riservando la visualizzazione dei dati ai soli collaboratori espressamente autorizzati;

Backup e Disaster Recovery: Procedure automatiche di copia di sicurezza quotidiana dei database, custodite su infrastrutture cloud ridondate;

Misure per la gestione dei Data Breach: È attivo un piano di risposta agli incidenti di sicurezza informatica conforme agli Articoli 33 e 34 del GDPR, che prevede la notifica tempestiva all'Autorità Garante per la Protezione dei Dati Personali entro 72 ore dall'avvenuta conoscenza dell'evento, nonché la comunicazione agli Interessati qualora la violazione presenti un rischio elevato per i loro diritti e libertà fondamentali.

7. DESTINATARI E CATEGORIE DI SOGGETTI AI QUALI I DATI POSSONO ESSERE COMUNICATI

I dati personali raccolti non sono oggetto di diffusione indiscriminata e non vengono venduti o ceduti a titolo oneroso a terze parti per finalità promozionali autonome di queste ultime.

I dati possono essere comunicati o resi accessibili esclusivamente a soggetti determinati appartenenti alle seguenti categorie:

A. Personale Interno Autorizzato al Trattamento

I dipendenti e collaboratori di Aymara Italia S.r.l. assegnati all'ufficio vendite, marketing, amministrazione, contabilità, logistica e assistenza clienti, i quali sono stati debitamente formati ed espressamente istruiti e autorizzati al trattamento ai sensi dell'Articolo 29 del GDPR e dell'Articolo 2-quaterdecies del Codice Privacy.

B. Responsabili del Trattamento (Articolo 28 del GDPR)

Soggetti esterni che trattano dati personali per conto del Titolare sulla base di specifici accordi contrattuali di nomina a Responsabile del Trattamento (Data Processing Agreement - DPA), recanti garanzie stringenti di tutela e riservatezza. Tra questi figurano:

Fornitore della piattaforma tecnologica e-commerce: Shopify International Limited (società con sede in Irlanda che fornisce l'infrastruttura gestionale, il motore di checkout e l'ambiente applicativo);

Spedizionieri e Vettori Logistici: Corrieri espressi incaricati del trasporto, della consegna fisica dei colli e della gestione logistica dei resi presso la sede del cliente (ai quali vengono trasmessi unicamente i dati di spedizione: nome, cognome, indirizzo, email e recapito telefonico per le notifiche di consegna);

Piattaforme di Email Marketing e Automazione: Intuit Mailchimp (per la gestione delle liste di iscrizione alla newsletter, invio campagne e verifica delle disiscrizioni);

Fornitori di servizi IT, hosting e web development: Piattaforme di cloud hosting, programmatori esterni, agenzie di consulenza web e specialisti di web design e sicurezza dei server;

Consulenti professionali esterni: Studi di consulenza fiscale, commercialisti, revisori legali dei conti per l'adempimento dei bilanci e delle scritture tributarie obbligatorie.

C. Titolari Autonomi del Trattamento

Soggetti terzi ai quali i dati devono essere comunicati per legge o per consentire la corretta prestazione del servizio, che operano quali titolari distinti:

Istituti Bancari e Gestori dei Gateway di Pagamento: Piattaforme quali PayPal (Europe) S.à r.l. et Cie, S.C.A., Stripe, o consorzi bancari di emissione delle carte di credito/debito per l'autorizzazione all'addebito delle transazioni commerciali;

Autorità Pubbliche, Forze di Polizia, Enti Giudiziari e Doganali: Nei casi espressamente prescritti dalla legislazione vigente o a seguito di ordini legittimi dell'Autorità Giudiziaria per la prevenzione o repressione di reati fiscali o informatici.

L'elenco nominativo completo e costantemente aggiornato dei Responsabili del Trattamento nominati può essere richiesto in ogni momento al Titolare scrivendo a privacy@erbariotoscano.it.

8. TRASFERIMENTO DEI DATI PERSONALI VERSO PAESI TERZI (EXTRA-UE/SEE)

La gestione informatica del Sito e la fornitura di taluni servizi digitali (piattaforma Shopify, piattaforme di marketing di Intuit/Mailchimp, servizi di analisi Google, circuiti social Meta) comportano la conservazione o il trattamento di dati su server situati in Paesi al di fuori dello Spazio Economico Europeo (SEE), in primis negli Stati Uniti d'America.

In ossequio al Capo V del Regolamento (UE) 2016/679, tali trasferimenti avvengono esclusivamente in presenza di solide garanzie legali adeguate a preservare l'inviolabilità dei dati personali:

Decisione di Adeguatezza "EU-U.S. Data Privacy Framework" (DPF): Adottata dalla Commissione Europea il 10 luglio 2023 ai sensi dell'Articolo 45 del GDPR. Per tutti i partner tecnologici aventi sede negli Stati Uniti d'America e formalmente iscritti nella Data Privacy Framework List gestita dal Dipartimento del Commercio statunitense (tra cui Google LLC, Meta Platforms Inc., Intuit Inc., Shopify USA), il trasferimento si considera legalmente equiparato a un trattamento interno allo Spazio Economico Europeo, garantendo standard di tutela sostanzialmente equivalenti.

Clausole Contrattuali Standard (Standard Contractual Clauses - SCC): Qualora un fornitore terzo stabilito fuori dallo Spazio Economico Europeo non aderisca al Data Privacy Framework, ovvero per i trasferimenti verso altri Paesi terzi non assistiti da decisioni di adeguatezza, il Titolare subordina il flusso all'adozione delle Clausole Contrattuali Standard approvate dalla Commissione Europea ai sensi dell'Articolo 46, paragrafo 2, lettere c e d del GDPR, integrate da valutazioni d'impatto sul trasferimento (Transfer Impact Assessment - TIA) e misure crittografiche o pseudonimizzanti conformi alle Raccomandazioni 01/2020 del Comitato Europeo per la Protezione dei Dati (EDPB).

9. TUTELA DEI MINORI DI ETÀ

I prodotti commercializzati sul Sito e i relativi servizi di vendita online non sono destinati a soggetti di età inferiore a 18 anni. Nessuna registrazione all'area clienti, ordine di acquisto o consenso alla ricezione di comunicazioni promozionali è rivolto a minori di età.

In conformità all'Articolo 8 del GDPR e all'Articolo 2-quinquies del Codice Privacy italiano (D.Lgs. 196/2003 e s.m.i.):

L'accesso alla stipula di contratti di acquisto sul Sito è riservato a persone aventi la piena capacità di agire (diciotto anni compiuti);

Qualora il Titolare dovesse accertare che dati personali relativi a un minore siano stati acquisiti in assenza del consenso verificabile dell'esercente la responsabilità genitoriale, provvederà senza indugio alla cancellazione immediata di ogni dato, all'annullamento dell'eventuale ordine e alla disattivazione dell'account correlato.

10. PROCESSI DECISIONALI AUTOMATIZZATI E PROFILAZIONE

Il Titolare del trattamento non adotta alcun processo decisionale basato unicamente su trattamenti automatizzati che produca effetti giuridici per l'Interessato o che incida sulla sua persona in modo significativamente analogo ai sensi dell'Articolo 22, paragrafi 1 e 4 del GDPR.

L'attività di profilazione commerciale (ovvero l'aggregazione di informazioni sugli acquisti effettuati o sulle categorie di fragranze e cosmetici maggiormente visualizzati al fine di proporre comunicazioni commerciali su misura):

Non determina conseguenze giuridiche pregiudizievoli per il cliente;

Non impedisce la fruizione delle ordinarie promozioni generali o l'acquisto dei prodotti;

Si basa esclusivamente sul consenso esplicito, facoltativo e revocabile espresso dall'Interessato tramite il pannello di gestione cookie o appositi moduli di preferenza privacy;

Può essere revocata in ogni momento senza formalità.

11. DIRITTI DELL'INTERESSATO E MODALITÀ DI ESERCIZIO

Ai sensi degli Articoli da 15 a 22 del Regolamento (UE) 2016/679, l'Interessato ha il diritto di esercitare in qualsiasi momento, a titolo interamente gratuito e senza limitazioni ingiustificate, i seguenti diritti specifici:

Diritto di Accesso (Articolo 15 GDPR): Diritto di ottenere dal Titolare la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, di ottenere l'accesso ai dati e alle informazioni analitiche (finalità, categorie trattate, destinatari, tempi di conservazione previsti, origine dei dati ove non raccolti presso l'Interessato).

Diritto di Rettifica (Articolo 16 GDPR): Diritto di ottenere senza ingiustificato ritardo la correzione dei dati inesatti che lo riguardano, ovvero l'integrazione dei dati personali incompleti.

Diritto alla Cancellazione ("Diritto all'Oblio" - Articolo 17 GDPR): Diritto di ottenere dal Titolare la cancellazione dei dati personali che lo riguardano qualora i dati non siano più necessari rispetto alle finalità, sia stato revocato il consenso e non sussista altra base legale, sia stata presentata opposizione legittima, ovvero quando i dati siano stati trattati illecitamente o debbano essere cancellati per adempiere a un obbligo normativo. Il diritto all'oblio non si applica qualora il trattamento sia necessario per l'adempimento di obblighi legali di conservazione fiscale/contabile (10 anni) o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

Diritto di Limitazione del Trattamento (Articolo 18 GDPR): Diritto di richiedere che i dati siano contrassegnati e che il loro trattamento sia sospeso (salvo la mera conservazione) qualora l'Interessato contesti l'esattezza dei dati, il trattamento sia illecito ma ci si opponga alla cancellazione, i dati siano necessari per la difesa in giudizio o sia pendente la verifica circa la prevalenza dei motivi legittimi del Titolare rispetto a quelli dell'Interessato.

Diritto alla Portabilità dei Dati (Articolo 20 GDPR): Diritto di ricevere dal Titolare, in un formato strutturato, di uso comune e leggibile da dispositivo automatico (ad esempio formato CSV o JSON), i dati personali forniti che siano trattati con mezzi automatizzati sulla base del consenso o di un contratto, nonché il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti.

Diritto di Opposizione (Articolo 21 GDPR): Diritto di opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare, al trattamento dei dati personali svolto per il perseguimento del legittimo interesse del Titolare (compreso il marketing diretto o il cosiddetto soft spam ex art. 130 c. 4 Codice Privacy). A seguito dell'opposizione, il Titolare si astiene dal trattare ulteriormente i dati personali per tali scopi.

Diritto di Revoca del Consenso (Articolo 7, paragrafo 3 GDPR): Diritto di revocare in ogni momento il consenso prestato per finalità di marketing, newsletter o profilazione. La revoca del consenso non pregiudica in alcun caso la liceità del trattamento basata sul consenso espresso prima della revoca.

Canali operativi per l'esercizio dei diritti

L'Interessato può esercitare i propri diritti in qualunque momento formulando una richiesta informale indirizzata a:

Posta elettronica ordinaria: inviando un messaggio a privacy@erbariotoscano.it indicando nell'oggetto "Esercizio Diritti Privacy - Erbario Toscano";

Posta raccomandata con ricevuta di ritorno: scrivendo a Aymara Italia S.r.l. – Ufficio Privacy, Via dei Ghivizzani N°61, 55041 Capezzano Pianore (Lu), Italia;

Posta Elettronica Certificata (PEC): erbariotoscano@legalmail.it.

Termini di riscontro del Titolare

In conformità all'Articolo 12, paragrafo 3 del GDPR, il Titolare fornisce all'Interessato le informazioni relative alle azioni intraprese in merito a una richiesta di esercizio dei diritti senza ingiustificato ritardo e, al più tardi, entro 30 (trenta) giorni dal ricevimento della richiesta stessa.

Tale termine può essere prorogato fino a un massimo di ulteriori 60 (sessanta) giorni qualora si renda necessario tenuto conto della complessità tecnica o dell'elevato numero di richieste pervenute; in tal caso, il Titolare informa l'Interessato di tale proroga, e dei motivi del ritardo, entro un mese dalla ricezione della richiesta originaria. L'esercizio dei diritti è gratuito; qualora le richieste risultino manifestamente infondate o eccessive (in particolare per il loro carattere ripetitivo), il Titolare può addebitare un contributo spese ragionevole parametrato ai costi amministrativi sostenuti oppure rifiutare di soddisfare la richiesta.

12. DIRITTO DI PROPORRE RECLAMO ALL'AUTORITÀ DI CONTROLLO (ARTICOLO 77 DEL GDPR)

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale civile, qualora l'Interessato ritenga che il trattamento dei dati personali a lui riferiti effettuato attraverso il Sito avvenga in violazione delle disposizioni del Regolamento (UE) 2016/679 o della disciplina nazionale in materia di privacy, ha il pieno diritto di proporre reclamo all'Autorità di controllo preposta.

L'Interessato può presentare il reclamo all'Autorità di controllo dello Stato membro dell'Unione Europea in cui risiede abitualmente, in cui lavora, ovvero del luogo in cui si è verificata la presunta violazione.

Per la Repubblica Italiana, l'Autorità nazionale competente è il:

Garante per la Protezione dei Dati Personali

Sede operativa: Piazza Venezia numero 11, 00187 – Roma, Italia

Centralino telefonico: (+39) 06.696771

Indirizzo di Posta Elettronica Certificata (PEC): protocollo@pec.gpdp.it

Posta elettronica ordinaria per relazioni con il pubblico: urp@gpdp.it

Modello di reclamo e informazioni sul deposito telematico: https://www.garanteprivacy.it

Resta salva altresì la facoltà di adire l'Autorità Giudiziaria ordinaria ai sensi dell'Articolo 79 del GDPR e dell'Articolo 152 del Decreto Legislativo 196/2003 (Codice Privacy).

13. RINVIO ALLA COOKIE POLICY

La disciplina relativa all'uso dei marcatori di tracciamento informatico, cookie di sessione, storage locale (localStorage e sessionStorage), web pixel Shopify, script di tracciamento terzi e tag distribuiti mediante Google Tag Manager, nonché le modalità dettagliate di gestione del consenso preventivo di primo e secondo livello, sono descritte analiticamente all'interno della nostra Cookie Policy accessibile nel piè di pagina del Sito, alla quale si rinvia per ogni approfondimento tecnico-normativo specifico.

14. MODIFICHE, AGGIORNAMENTI E REVISIONI DELLA PRESENTE PRIVACY POLICY

Il Titolare del trattamento si riserva il diritto di apportare modifiche, integrazioni o aggiornamenti alla presente Privacy Policy in qualsiasi momento, in ottemperanza all'evoluzione delle leggi vigenti, a nuovi indirizzi interpretativi dell'Autorità Garante per la Protezione dei Dati Personali o dell'EDPB, ovvero in concomitanza con l'introduzione di nuove funzionalità, servizi o partner commerciali all'interno del Sito.

La versione pubblicata sul Sito reca sempre l'indicazione della data dell'ultimo aggiornamento (riportata in epigrafe). Si invitano gli Interessati a consultare periodicamente la presente pagina web per verificare costantemente lo stato delle misure a presidio della protezione dei propri dati personali.