La presente informativa descrive l’applicazione del Regolamento (UE) 2016/679 ai dati personali trattati da jorquex in relazione al sito, agli account, agli ordini e ai servizi destinati al mercato italiano.
1. Titolare del trattamento
Il titolare del trattamento è:
jorquex
板井1660番地1 醍貝公舍E棟408号室
Kumagaya, Saitama 360-0105
Giappone
E-mail per l’esercizio dei diritti: careteam@jorquex.com
Telefono: +81 48-527-6384
2. Normativa di riferimento
Il trattamento dei dati personali degli interessati situati nell’Unione europea è disciplinato dal Regolamento (UE) 2016/679, dal Decreto legislativo 30 giugno 2003, n. 196, come modificato, e dalle altre disposizioni italiane ed europee pertinenti.
Il testo del Regolamento (UE) 2016/679 è consultabile tramite EUR-Lex.
3. Principi applicati
Le operazioni sui dati personali rispettano i principi di:
-
liceità, correttezza e trasparenza;
-
raccolta per finalità determinate, esplicite e legittime;
-
utilizzo compatibile con le finalità dichiarate;
-
adeguatezza, pertinenza e minimizzazione;
-
esattezza e aggiornamento;
-
conservazione limitata al periodo necessario;
-
integrità e riservatezza;
-
responsabilizzazione del titolare.
I dati non pertinenti rispetto alla finalità perseguita non devono essere trasmessi.
4. Categorie di dati
Il trattamento riguarda:
-
nome e cognome;
-
indirizzo e-mail e numero telefonico;
-
indirizzi di fatturazione e consegna;
-
credenziali e dati dell’account;
-
carrello e preferenze;
-
prodotti, quantità e valore dell’ordine;
-
stato del pagamento e identificativo della transazione;
-
spedizione, tracciamento e consegna;
-
annullamenti, recessi, resi, sostituzioni e rimborsi;
-
richieste di assistenza e reclami;
-
indirizzo IP, browser, dispositivo e dati di sessione;
-
eventi tecnici e di sicurezza;
-
preferenze relative a cookie e marketing.
5. Esecuzione del contratto
Ai sensi dell’articolo 6, paragrafo 1, lettera b), del GDPR, i dati necessari sono trattati per:
-
mantenere il carrello;
-
completare il checkout;
-
verificare e registrare l’ordine;
-
elaborare il pagamento;
-
predisporre la spedizione;
-
consegnare il prodotto;
-
fornire il tracciamento;
-
gestire annullamenti e modifiche;
-
trattare recesso, reso e sostituzione;
-
effettuare il rimborso;
-
fornire assistenza collegata all’acquisto;
-
applicare la garanzia legale.
Il mancato conferimento delle informazioni obbligatorie impedisce l’esecuzione della funzione richiesta.
6. Adempimento degli obblighi legali
Ai sensi dell’articolo 6, paragrafo 1, lettera c), del GDPR, determinati dati sono trattati per rispettare obblighi:
-
fiscali;
-
contabili;
-
doganali;
-
amministrativi;
-
relativi alla tutela dei consumatori;
-
connessi alla sicurezza dei prodotti;
-
derivanti da richieste legittime delle autorità;
-
riguardanti la gestione di contestazioni e garanzie.
La richiesta di cancellazione non prevale sugli obblighi di conservazione stabiliti dalla legge.
7. Consenso dell’interessato
Il consenso costituisce la base giuridica esclusivamente quando richiesto dalla normativa, incluse le seguenti attività:
-
invio di newsletter;
-
comunicazioni promozionali;
-
cookie pubblicitari;
-
profilazione non necessaria;
-
strumenti analitici soggetti a consenso;
-
ulteriori trattamenti facoltativi indicati al momento della raccolta.
La mancata prestazione del consenso non impedisce la navigazione essenziale, il checkout o l’esecuzione di un ordine.
8. Revoca del consenso
L’interessato ha diritto a revocare il consenso in qualsiasi momento attraverso il collegamento presente nelle comunicazioni, il pannello delle preferenze oppure scrivendo a careteam@jorquex.com.
La revoca produce effetti per i trattamenti successivi e non incide sulla liceità delle operazioni svolte prima della sua ricezione.
I dati vengono successivamente cancellati o esclusi dalla finalità fondata sul consenso, salvo che un’altra base giuridica ne richieda la conservazione.
9. Legittimo interesse
Ai sensi dell’articolo 6, paragrafo 1, lettera f), del GDPR, il trattamento è fondato sul legittimo interesse per:
-
proteggere sito, account e transazioni;
-
prevenire frodi e abusi;
-
accertare, esercitare o difendere diritti;
-
assicurare la continuità tecnica;
-
diagnosticare errori;
-
mantenere la sicurezza informatica;
-
migliorare le funzioni del negozio mediante dati proporzionati alla finalità.
L’interesse viene bilanciato con i diritti e le libertà fondamentali dell’interessato. Quando prevalgono i diritti dell’interessato, il trattamento fondato su tale base cessa.
10. Dati di pagamento
Le transazioni vengono elaborate mediante Authorize.net, gli emittenti delle carte e i relativi circuiti di pagamento.
jorquex tratta lo stato dell’autorizzazione, l’importo, la valuta, l’identificativo dell’operazione e le informazioni limitate necessarie per collegare il pagamento all’ordine.
Numero completo della carta, CVV/CVC, PIN, password bancarie e codici temporanei non devono essere inviati a careteam@jorquex.com.
11. Destinatari dei dati
Le informazioni sono comunicate, limitatamente a quanto necessario per la rispettiva funzione, a:
-
Shopify, per l’infrastruttura del negozio e del checkout;
-
Authorize.net, per le transazioni;
-
circuiti di pagamento ed emittenti delle carte;
-
operatori logistici e vettori;
-
intermediari doganali;
-
servizi di hosting, manutenzione e sicurezza;
-
fornitori di assistenza e comunicazione;
-
consulenti fiscali, contabili e legali;
-
autorità legittimate a riceverle.
Il ruolo di ciascun destinatario è determinato in base all’attività svolta, quale responsabile del trattamento, titolare autonomo o soggetto autorizzato.
12. Limitazione della comunicazione
A ciascun destinatario vengono trasmessi soltanto i dati necessari all’esecuzione dell’incarico o all’adempimento dell’obbligo applicabile.
I dati personali non vengono diffusi pubblicamente né venduti in cambio di denaro.
Le comunicazioni alle autorità avvengono sulla base di una richiesta legittima o di un obbligo normativo.
13. Trasferimenti fuori dallo Spazio economico europeo
Il titolare è stabilito in Giappone e utilizza fornitori operanti in più Paesi. Alcune operazioni comportano quindi il trasferimento di dati al di fuori dello Spazio economico europeo.
Ogni trasferimento si fonda su uno degli strumenti riconosciuti dal GDPR:
-
decisione di adeguatezza della Commissione europea;
-
clausole contrattuali standard;
-
norme vincolanti d’impresa;
-
deroga espressamente prevista dall’articolo 49;
-
altro meccanismo valido previsto dalla normativa.
Per il Giappone si applica la decisione di adeguatezza entro il relativo ambito. Per destinazioni prive di una decisione di adeguatezza vengono adottate garanzie contrattuali e misure supplementari coerenti con la valutazione del trasferimento.
L’interessato ha diritto a richiedere informazioni sulle garanzie applicate scrivendo a careteam@jorquex.com.
14. Criteri di conservazione
La durata della conservazione è determinata in base a finalità, obblighi normativi e necessità di tutela dei diritti:
-
account: fino alla chiusura, oltre ai dati soggetti a ulteriore conservazione obbligatoria;
-
ordini, pagamenti e documenti fiscali: per il periodo previsto dalla normativa fiscale, contabile e civilistica;
-
spedizioni, resi, rimborsi e garanzie: fino alla definizione della pratica e per il successivo termine di tutela dei diritti;
-
assistenza e reclami: fino alla conclusione della richiesta e durante il periodo necessario alla gestione di contestazioni;
-
sicurezza e prevenzione delle frodi: per una durata proporzionata al rischio e agli eventi rilevati;
-
marketing: fino alla revoca del consenso o all’opposizione;
-
cookie: per la durata indicata nel pannello delle preferenze.
Al termine, i dati vengono cancellati o anonimizzati, salvo permanenza di un obbligo legale o di una controversia.
15. Sicurezza del trattamento
Sono applicate misure tecniche e organizzative proporzionate ai rischi, riguardanti:
-
controllo degli accessi;
-
gestione delle autorizzazioni;
-
protezione delle comunicazioni;
-
sicurezza delle credenziali;
-
registrazione degli eventi rilevanti;
-
gestione degli incidenti;
-
verifica dei fornitori;
-
continuità e ripristino dei sistemi;
-
riduzione dei dati trattati.
In presenza di una violazione dei dati personali, vengono applicati gli obblighi di valutazione, registrazione, notifica e comunicazione previsti dagli articoli 33 e 34 del GDPR.
16. Diritto di accesso
L’interessato ha diritto a ottenere conferma dell’esistenza di dati che lo riguardano e a ricevere informazioni su:
-
finalità;
-
categorie di dati;
-
destinatari;
-
durata della conservazione;
-
origine delle informazioni;
-
trasferimenti internazionali;
-
processi decisionali automatizzati disciplinati dall’articolo 22 del GDPR.
Ha inoltre diritto a ricevere una copia dei dati, nel rispetto dei diritti e delle libertà altrui.
17. Rettifica e cancellazione
L’interessato ha diritto alla correzione dei dati inesatti e all’integrazione di quelli incompleti.
La cancellazione è riconosciuta nei casi previsti dall’articolo 17 del GDPR. Restano esclusi i dati necessari per:
-
adempiere un obbligo legale;
-
eseguire una richiesta ancora attiva;
-
accertare, esercitare o difendere un diritto;
-
perseguire un’altra finalità legittima prevista dalla normativa.
18. Limitazione del trattamento
L’interessato ha diritto alla limitazione quando:
-
contesta l’esattezza dei dati;
-
il trattamento risulta illecito e richiede la sola conservazione;
-
il titolare non necessita più dei dati, ma l’interessato ne richiede l’uso per tutelare un diritto;
-
è stata presentata opposizione e risulta in corso la verifica dei motivi prevalenti.
Durante la limitazione, il dato resta conservato e viene trattato soltanto nei casi ammessi dall’articolo 18 del GDPR.
19. Portabilità
Per i trattamenti automatizzati fondati sul consenso o sul contratto, l’interessato ha diritto a ricevere i dati forniti in formato strutturato, di uso comune e leggibile da dispositivo automatico.
La trasmissione diretta a un altro titolare viene effettuata quando tecnicamente attuabile e senza pregiudicare i diritti di terzi.
20. Opposizione
L’interessato ha diritto a opporsi, per ragioni connesse alla propria situazione, ai trattamenti fondati sul legittimo interesse.
A seguito dell’opposizione, il trattamento cessa salvo esistenza di motivi legittimi prevalenti oppure necessità di accertare, esercitare o difendere un diritto.
L’opposizione al marketing diretto non richiede motivazione e determina la cessazione dell’utilizzo dei dati per tale finalità.
21. Decisioni automatizzate
I sistemi di sicurezza e pagamento eseguono controlli automatizzati destinati a rilevare transazioni irregolari.
Quando una decisione basata esclusivamente su procedure automatizzate produce effetti giuridici o analogamente significativi, l’interessato dispone, nei casi previsti dalla legge, del diritto:
-
all’intervento umano;
-
a esprimere la propria posizione;
-
a ricevere informazioni utili sulla logica applicata;
-
a contestare la decisione.
22. Esercizio dei diritti
Le richieste devono essere inviate a:
La comunicazione deve indicare il diritto esercitato e le informazioni necessarie a individuare i dati interessati.
In presenza di dubbi ragionevoli sull’identità del richiedente, vengono richiesti esclusivamente gli elementi supplementari necessari a impedire accessi non autorizzati.
23. Tempi e costi di risposta
La richiesta viene trattata senza ingiustificato ritardo e, in ogni caso, entro un mese dalla ricezione.
In ragione della complessità o del numero delle richieste, il termine è esteso fino a ulteriori due mesi. La relativa informazione, accompagnata dalle ragioni dell’estensione, viene inviata entro il primo mese.
L’esercizio dei diritti è gratuito. Per richieste manifestamente infondate o eccessive si applicano le misure consentite dall’articolo 12 del GDPR.
24. Reclamo e tutela giudiziaria
L’interessato ha diritto a presentare reclamo all’autorità di controllo del proprio Stato membro.
Per l’Italia:
Garante per la protezione dei dati personali
Piazza Venezia, 11
00187 Roma
Sito: www.garanteprivacy.it
Il reclamo non impedisce l’esercizio degli altri rimedi amministrativi o giudiziari previsti dalla normativa.
25. Normativa italiana
Per le attività rivolte al mercato italiano trovano applicazione, oltre al GDPR:
-
il Decreto legislativo 30 giugno 2003, n. 196, come modificato;
-
i provvedimenti e le linee guida del Garante per la protezione dei dati personali;
-
le disposizioni italiane riguardanti comunicazioni elettroniche, cookie, marketing e tutela dei consumatori;
-
ogni ulteriore norma inderogabile pertinente al trattamento.
In caso di contrasto prevale la disposizione inderogabile più favorevole alla tutela dell’interessato.
26. Contatto privacy
jorquex
E-mail: careteam@jorquex.com
Telefono: +81 48-527-6384
Indirizzo:
板井1660番地1 醍貝公舍E棟408号室
Kumagaya, Saitama 360-0105
Giappone
Orari:
-
lunedì–venerdì: 10:15–18:15 CET/CEST, ora di Roma;
-
sabato e domenica: chiuso.