Informativa privacy

Questa informativa spiega quali dati personali trattiamo quando usi Indespeis per comprare, per venderci i tuoi prodotti o anche solo per visitare il sito, perché lo facciamo, per quanto tempo e quali sono i tuoi diritti (articolo 13 del Regolamento UE 2016/679, GDPR). Non vendiamo i tuoi dati, non li usiamo per pubblicità e non ti mandiamo newsletter. Aggiornata al 9 ottobre 2026.

1. Chi è il titolare

Il titolare del trattamento è IDS Informatica di Missaglia Daniele, Via Don Giovanni Minzoni 10, 23854 Olginate (LC), partita IVA 04208420135. Per qualsiasi domanda sui tuoi dati scrivi a amministrazione@idsgroup.it o per PEC a danielemissaglia@pec.it. Non abbiamo nominato un responsabile della protezione dei dati (DPO), perché per la nostra attività non è obbligatorio.

2. Visita del sito e sicurezza

Dati. Quando apri una pagina il tuo browser ci manda dati tecnici: indirizzo IP, tipo di browser e di dispositivo, pagina richiesta, data e ora. Nel carrello, nella pagina di accesso, nei moduli di Vendi e nella richiesta di un avviso di disponibilità usiamo anche Cloudflare Turnstile, un controllo automatico che legge segnali tecnici del browser per distinguere le persone dai programmi automatici; il nostro server manda a Cloudflare la risposta del controllo e il tuo indirizzo IP.

Perché. Per mostrarti il sito, proteggerlo da abusi e attacchi, limitare le richieste troppo frequenti dallo stesso indirizzo e capire cosa non funziona.

Base giuridica. Il nostro legittimo interesse alla sicurezza e al funzionamento del sito (articolo 6, paragrafo 1, lettera f del GDPR).

Per quanto tempo. Il conteggio delle richieste per indirizzo IP resta in memoria per un minuto e poi si cancella. I registri tecnici del sito restano su Cloudflare per 7 giorni.

3. Ordini

Dati. Email, nome, numero di telefono e indirizzo di spedizione, che inserisci nella pagina di pagamento; articoli, importi, date di ordine, spedizione ed eventuali rimborsi; codice di tracciamento; versione dei termini che hai accettato, testo delle altre caselle che hai spuntato nel carrello (difetti accettati, durata della garanzia) e ora dell’accettazione; i riferimenti del pagamento che ci manda Stripe. Non vediamo mai i dati della tua carta.

Perché. Per concludere ed eseguire il contratto: confermare l’ordine, spedirlo, gestire recesso, resi, rimborsi e garanzia, rispondere alle tue richieste. Per rispettare gli obblighi fiscali e contabili. Per conservare la prova di quello che hai accettato e difendere i nostri diritti in caso di contestazione.

Base giuridica. L’esecuzione del contratto (articolo 6, paragrafo 1, lettera b del GDPR); gli obblighi fiscali e contabili (lettera c); il nostro legittimo interesse a provare il contratto e a difenderci (lettera f).

Sono obbligatori? Sì. Email, nome, telefono e indirizzo servono per l’ordine e la consegna: senza, non possiamo venderti nulla.

Per quanto tempo. Per 10 anni dall’ordine: è il tempo chiesto dagli obblighi fiscali e quello in cui si possono far valere i diritti nati dal contratto.

4. Recesso e resi

Dati. Nome, codice dell’ordine ed email che inserisci nella pagina di recesso, con la data e l’ora in cui ci arriva la richiesta; gli articoli restituiti e i rimborsi. La richiesta di recesso non si può modificare dopo l’invio.

Perché e base giuridica. Per gestire il recesso e i resi (esecuzione del contratto e obbligo di legge, articolo 6, paragrafo 1, lettere b e c del GDPR) e per conservarne la prova (legittimo interesse, lettera f).

Per quanto tempo. Per 10 anni, come gli ordini.

5. Vendi: quando ci vendi i tuoi prodotti

Dati della richiesta. Nome, email, telefono, indirizzo, metodo di pagamento preferito, i prodotti che vuoi venderci, le dichiarazioni che fai e l’accettazione delle condizioni di Vendi, con il loro testo, la versione e l’ora. Durante il controllo aggiungiamo l’esito, le foto dei prodotti e i codici di tracciamento; se non accetti il totale, anche questa scelta con l’ora.

Dati per il pagamento. Dopo il controllo: nome e cognome, data e luogo di nascita, codice fiscale, indirizzo di residenza e i dati di un documento d’identità valido (tipo, numero, ente che l’ha rilasciato e scadenza), che la legge ci chiede di annotare nel registro degli acquisti di usato (articolo 128 del Testo unico delle leggi di pubblica sicurezza); IBAN e intestatario del conto, oppure indirizzo PayPal; la dichiarazione di vendita. Non ti chiediamo la foto del documento.

Perché e base giuridica. Per valutare i prodotti, comprarli e pagarti (esecuzione del contratto e misure precontrattuali, articolo 6, paragrafo 1, lettera b del GDPR); per tenere il registro degli acquisti di usato e rispettare gli obblighi fiscali (obbligo di legge, lettera c); per conservare la prova delle dichiarazioni e difendere i nostri diritti (legittimo interesse, lettera f).

Sono obbligatori? Sì: senza i dati del documento non possiamo comprare, perché la legge lo vieta; senza i dati per il pagamento non possiamo pagarti.

Protezione. I dati del documento e quelli per il pagamento sono cifrati prima di essere salvati e li vedono in chiaro solo le persone autorizzate a gestire acquisti e pagamenti. Ogni volta che qualcuno li apre resta scritto chi è stato e quando.

Per quanto tempo. IBAN e indirizzo PayPal li cancelliamo 30 giorni dopo il pagamento. I dati del registro li conserviamo per 10 anni. La richiesta, le dichiarazioni e la documentazione dell’acquisto per 10 anni.

6. Proposte di vendita

Se ci proponi un prodotto che non è nel catalogo usiamo nome, email e descrizione solo per risponderti (misure precontrattuali, articolo 6, paragrafo 1, lettera b del GDPR). La proposta ci arriva per email: il testo resta nel nostro sistema di invio delle email per 30 giorni e nella nostra casella di posta per 10 anni.

7. Area cliente

Dati. La tua email, le date di accesso e un codice di 6 cifre che ti mandiamo per entrare, valido 10 minuti. L’account si crea quando chiedi il primo codice. Per bloccare i tentativi ripetuti salviamo per poco tempo un’impronta dell’email, cioè un codice ricavato dall’email che non la contiene in chiaro, con l’ora della richiesta; per limitare i codici chiesti, salviamo allo stesso modo un’impronta dell’email e una del tuo indirizzo IP, con quanti codici sono partiti. Supabase registra anche l’indirizzo IP e il tipo di browser degli accessi. Quando entri il browser salva un cookie di sessione.

Perché e base giuridica. Per farti vedere i tuoi ordini e le tue richieste di vendita fatti con la stessa email, anche quelli fatti prima di creare l’account (esecuzione del contratto, articolo 6, paragrafo 1, lettera b del GDPR), e per proteggere l’accesso (legittimo interesse, lettera f). L’area cliente è facoltativa.

Per quanto tempo. L’impronta dell’email per i tentativi si cancella quando entri; le impronte di più di un giorno le cancelliamo alla richiesta successiva di un codice, da chiunque arrivi. La sessione dura 30 giorni o finché premi Esci; l’account resta finché non lo elimini dall’area cliente. Se hai chiesto un codice ma non sei mai entrato, cancelliamo l’account ogni mattina, quando dall’ultimo codice chiesto è passato più di un giorno. Eliminando l’account cancelliamo l’accesso, ma ordini e richieste di vendita restano per i tempi indicati sopra, perché la legge ci chiede di conservarli.

Garanzia estesa. Se registri un acquisto fatto da noi su un’altra piattaforma, salviamo con la tua email la piattaforma, il numero della transazione, cosa hai comprato, la data dell’acquisto e quando l’hai registrato, per darti la garanzia estesa (esecuzione del contratto, articolo 6, paragrafo 1, lettera b del GDPR). Li teniamo per 10 anni, come gli ordini, anche se elimini l’account.

Buoni di benvenuto. Quando crei l’account ti diamo due buoni, uno per comprare e uno per venderci. Per il buono da usare negli acquisti comunichiamo la tua email a Stripe, che la usa per creare un codice valido solo per te (esecuzione del contratto, articolo 6, paragrafo 1, lettera b del GDPR). Teniamo i buoni con la tua email per 10 anni, come gli ordini, anche se elimini l’account: servono anche a dare i buoni una volta sola per email. Per lo stesso tempo resta su Stripe il cliente creato con la tua email, anche se non compri.

8. Le email che ti mandiamo

Ti scriviamo solo per quello che hai fatto sul sito: conferme, spedizioni, rimborsi, passi della tua richiesta di vendita, codici di accesso, avvisi di disponibilità che hai chiesto. Le email di ordini, richieste di vendita e avvisi passano dal nostro sistema di invio: il testo resta salvato 30 giorni per poterle rimandare se qualcosa va storto, poi lo cancelliamo; destinatario, oggetto, data ed esito dell’invio restano per 10 anni, come prova delle comunicazioni. Il codice di accesso all’area cliente lo manda Supabase. Le immagini nelle email arrivano dal nostro dominio e non contengono strumenti per sapere se le hai aperte. Base giuridica: l’esecuzione del contratto (articolo 6, paragrafo 1, lettera b del GDPR) e, per conservare la prova delle comunicazioni, il nostro legittimo interesse (lettera f).

Avvisi di disponibilità. Se sulla scheda di un prodotto esaurito chiedi di essere avvisato quando torna, salviamo la tua email con il prodotto, la data della richiesta e della conferma e un’impronta della chiave dei link nelle nostre email: con gli avvisi non salviamo la chiave, che sta solo nelle email (anche nel sistema di invio, come detto sopra). Se non sei entrato nell’area cliente con quella email, prima ti mandiamo un’email per confermare che l’indirizzo è tuo. Usiamo l’email solo per l’avviso: niente pubblicità, niente newsletter. Base giuridica: la tua richiesta (articolo 6, paragrafo 1, lettera b del GDPR). La richiesta si cancella quando parte l’avviso, quando premi Non avvisarmi più, dopo 6 mesi dalla conferma o dopo 7 giorni se non la confermi. Per limitare le email di conferma contiamo quelle partite nell’ultima ora per indirizzo, dagli stessi dati.

9. Assistenza

Se ci scrivi usiamo i dati che ci mandi per risponderti e, se serve, per gestire il tuo ordine o la tua richiesta di vendita (articolo 6, paragrafo 1, lettere b e f del GDPR). Conserviamo la corrispondenza per 10 anni.

10. Statistiche ed errori

Usiamo PostHog, su server nell’Unione Europea, per capire come si usa il sito e correggere gli errori. Cosa succede nel tuo browser dipende dalla scelta sul banner, ed è spiegato nell’informativa sui cookie: con il consenso riconosciamo le tue visite e registriamo le sessioni (base giuridica: consenso, articolo 6, paragrafo 1, lettera a del GDPR); se rifiuti, registriamo comunque pagine viste, clic, ricerche, aggiunte al carrello ed errori, senza codici che ti riconoscono tra una visita e l’altra e senza salvare nel tuo browser altro che la scelta (base giuridica: il nostro legittimo interesse a capire come si usa il sito, lettera f).

Indipendentemente dal banner, il nostro server manda a PostHog alcuni eventi di funzionamento, senza nome, email o indirizzo ma con il codice dell’ordine o della richiesta, che ci permette di risalire a te: ordine pagato (codice, totale, numero di articoli e, se l’hai usato, codice sconto e sconto), richiesta di vendita creata (codice, numero di pezzi e totale) o pagata (codice), richiesta del codice di accesso, accesso riuscito, uscita ed eliminazione dell’account, ed errori tecnici. Servono a sapere se il sito funziona e a ricostruire un problema quando qualcuno ci scrive. Se hai accettato le statistiche, alcuni di questi eventi, come la richiesta di vendita creata e gli errori, si collegano alle tue visite. Base giuridica: il nostro legittimo interesse al funzionamento del sito (lettera f).

Per ricavare la città approssimativa, il nostro server inoltra a PostHog il tuo indirizzo IP: PostHog non lo conserva. Le statistiche restano per 1 anno, le registrazioni delle sessioni per 30 giorni.

11. A chi affidiamo i dati

I tuoi dati li trattano le persone autorizzate di Indespeis, solo per quello che serve al loro lavoro, e questi fornitori:

per nostro conto, come responsabili del trattamento: Cloudflare (ospita il sito, lo protegge e lo rende veloce; fornisce il controllo Turnstile e conserva i registri tecnici); Supabase (database, accesso all’area cliente e file delle vendite, su server in Germania (Francoforte)); Resend (invio delle email); PostHog (statistiche ed errori, su server nell’Unione Europea); Netsons, che ospita il nostro gestionale di magazzino, dove registriamo vendite e acquisti con nome ed email; il commercialista, quando serve;
come titolari autonomi, cioè con una propria informativa, per la parte che li riguarda: Stripe, che gestisce il pagamento e i rimborsi e tratta alcuni dati anche per i propri obblighi di legge e per prevenire le frodi; il corriere che consegna il pacco; la tua banca o PayPal, quando ti paghiamo una vendita; gli avvocati, quando serve;
autorità pubbliche, quando la legge ci obbliga, per esempio l’autorità di pubblica sicurezza che controlla il registro degli acquisti di usato.

12. Dati fuori dall’Unione Europea

Scegliamo, quando possibile, server nell’Unione Europea. Alcuni fornitori (Cloudflare, Stripe, Resend, Supabase e PostHog) appartengono a gruppi con sede negli Stati Uniti, e Cloudflare serve il sito dal punto della sua rete più vicino a te, che può trovarsi fuori dall’Unione Europea. Quando i dati escono dall’Unione Europea, il trasferimento si basa sulla decisione di adeguatezza UE-USA (Data Privacy Framework), per i fornitori che vi aderiscono, o sulle clausole contrattuali tipo approvate dalla Commissione europea. Puoi chiederci una copia delle garanzie scrivendo a amministrazione@idsgroup.it.

13. Decisioni automatiche

Non prendiamo decisioni basate solo su un trattamento automatico che producano effetti giuridici su di te. Il controllo Turnstile e i limiti di richieste sono automatici e servono solo a proteggere il sito. L’offerta di Vendi si calcola dal nostro prezzo di vendita e dal magazzino, non dai tuoi dati; il controllo dei prodotti lo fa una persona.

14. I tuoi diritti

Puoi chiederci di accedere ai tuoi dati, correggerli, cancellarli, limitarne l’uso, riceverli in un formato leggibile da un computer e opporti ai trattamenti basati sul nostro legittimo interesse (articoli da 15 a 22 del GDPR). Puoi ritirare il consenso alle statistiche quando vuoi da “Preferenze cookie”, in fondo a ogni pagina: il ritiro vale da quel momento e non cambia quello che abbiamo fatto prima con il tuo consenso. Alcuni dati non possiamo cancellarli finché la legge ci obbliga a conservarli.

Scrivi a amministrazione@idsgroup.it: rispondiamo entro un mese. Se pensi che trattiamo i tuoi dati in modo non corretto puoi presentare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

15. Minori

Per venderci prodotti con Vendi devi essere maggiorenne: lo verifichiamo con la data di nascita che ci dai insieme ai dati del documento. Il sito non è pensato per i minori di 14 anni e non raccogliamo di proposito i loro dati.

16. Modifiche

Se cambiamo il modo in cui trattiamo i dati, aggiorniamo questa pagina e la data in cima.