Informativa Privacy

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è YOUSHIP S.R.L., con sede in Strada Nuova Naviglio 4/F, 43122 Parma (PR), Italia.

P. IVA e Codice Fiscale: 02444330340 · Codice SDI: USAL8PV · Numero REA Parma: 238700 · Capitale Sociale: € 10.000,00 interamente versato.

Per esercitare i diritti sotto descritti o per qualsiasi richiesta relativa al trattamento dei dati: info@youship.it · tel. 0521.98.61.54.

Il Titolare non ha designato un Responsabile della Protezione dei Dati (DPO), non ricorrendone i presupposti di obbligatorietà ex art. 37 GDPR.

2. Tipologie di dati trattati

YOUship raccoglie e tratta le seguenti categorie di dati personali:

• Dati anagrafici e di contatto — nome, cognome, ragione sociale, P.IVA o codice fiscale, indirizzo, email, numero di telefono, forniti dall'interessato tramite il form di contatto e richiesta preventivo presente sul sito, via email o telefono, in fase di registrazione al portale clienti o di sottoscrizione del rapporto contrattuale. Tramite il form del sito sono inoltre raccolti la tipologia di richiesta selezionata e il testo libero inserito dall'interessato per descrivere la propria esigenza.
• Dati relativi alle spedizioni — dati del mittente e del destinatario (nominativo, indirizzo, contatti), descrizione e valore della merce, peso e dimensioni, documentazione doganale eventualmente necessaria, codice di tracciamento, prove di consegna.
• Dati di fatturazione e pagamento — dati fiscali, coordinate bancarie limitate alle informazioni necessarie per la gestione del pagamento (i dati delle carte di credito sono trattati esclusivamente dai gestori di pagamento autorizzati e non vengono conservati dal Titolare), nonché i dati relativi alle fatture emesse e al loro stato: numero e data del documento, importo, termini e data di scadenza, stato del pagamento ed eventuale ritardo maturato.
• Dati relativi ai solleciti di pagamento — l'indirizzo di posta elettronica indicato dal Cliente per le comunicazioni amministrative, che può riferirsi a una persona fisica appartenente alla sua organizzazione, e il registro degli avvisi inviati: data e ora dell'invio, grado del sollecito, indirizzo destinatario ed esito della trasmissione. Tali dati non sono di norma forniti direttamente dall'interessato: provengono dal Cliente che li ha comunicati al Titolare e dai sistemi gestionali e contabili del Titolare medesimo (art. 14 GDPR).
• Dati di navigazione — informazioni raccolte automaticamente durante la navigazione del sito (indirizzo IP, tipo di browser, pagine visitate, tempi di permanenza), come dettagliato nella Cookie Policy.
• Dati tecnici di sicurezza anti-spam — in occasione della visualizzazione e dell'invio del form di contatto presente sul sito vengono trattati l'indirizzo IP del visitatore, gli header HTTP, le caratteristiche tecniche del browser e del dispositivo e alcuni segnali comportamentali (es. tempi di interazione con la pagina), raccolti dal servizio Cloudflare Turnstile (vedi §4 e §5) ai fini della verifica anti-bot. Sono inoltre trattati la marca temporale di compilazione del form e l'esito dei controlli anti-spam, al solo fine di prevenire invii automatizzati, spam e abusi e di applicare limiti di frequenza alle richieste per indirizzo IP e per indirizzo email.

3. Finalità e base giuridica del trattamento

Con riferimento ai trattamenti fondati sul legittimo interesse del Titolare (art. 6.1.f GDPR), gli interessi perseguiti sono i seguenti: mantenere il Cliente informato sull'andamento del servizio e sulle condizioni applicate; prevenire spam, invii automatizzati e abusi e tutelare la sicurezza dei sistemi informatici; ottenere il pagamento di quanto dovuto per prestazioni già eseguite; accertare, esercitare o difendere un diritto in sede giudiziaria. Resta fermo il diritto di opposizione di cui al §7.

4. Comunicazione dei dati a soggetti terzi

Per l'esecuzione del servizio, i dati relativi alle spedizioni (nominativi, indirizzi, contatti, contenuto e valore del collo) sono necessariamente comunicati ai corrieri partner incaricati del trasporto, in qualità di Responsabili autonomi del trattamento o Titolari autonomi a seconda del rapporto contrattuale:

• UPS Italia S.r.l.
• DHL Express (Italy) S.r.l.
• FedEx Express Italy S.r.l.
• BRT S.p.A.
• GLS Italy S.p.A.
• TNT Global Express S.r.l.

I dati possono inoltre essere comunicati a:

• Autorità doganali e amministrazioni pubbliche italiane ed estere, ove richiesto dalla normativa applicabile alle spedizioni internazionali.
• Studi professionali (commercialista, consulenti legali) che assistono il Titolare in qualità di Responsabili esterni del trattamento.
• Google Ireland Ltd. (e, per i servizi infrastrutturali, Google LLC) — fornitore della piattaforma di posta elettronica e produttività Google Workspace, utilizzata per la gestione e l'invio delle comunicazioni di servizio, dei solleciti di pagamento e delle risposte alle richieste degli interessati, nominato Responsabile esterno ex art. 28 GDPR.
• Hostinger International Ltd. — fornitore dei servizi di hosting del sito web e del server applicativo (VPS) sul quale è eseguito il sistema di automazione dei processi del Titolare, utilizzato tra l'altro per la ricezione e lo smistamento delle richieste inviate tramite il form di contatto e per la generazione e l'invio dei solleciti di pagamento, nominato Responsabile esterno ex art. 28 GDPR.
• Supabase Pte. Ltd. (65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513) — fornitore della piattaforma di database in cloud sulla quale sono conservati i dati delle fatture e delle relative scadenze, i contatti amministrativi indicati dal Cliente e il registro dei solleciti inviati, nominato Responsabile esterno ex art. 28 GDPR sulla base dell'accordo sul trattamento dei dati (Data Processing Addendum) del fornitore. Tali dati sono ospitati su infrastruttura situata nell'Unione europea (Irlanda). Il medesimo fornitore ospita altresì, su una distinta infrastruttura situata nel Regno Unito, la piattaforma utilizzata per l'invio delle comunicazioni di cui al §3 (newsletter e comunicazioni commerciali), sulla quale sono conservati gli indirizzi di posta elettronica degli iscritti, le relative liste di distribuzione, il registro degli invii effettuati e l'elenco delle revoche del consenso e delle disiscrizioni.
• Cloudflare, Inc. (con sede negli Stati Uniti) — fornitore del servizio Cloudflare Turnstile, utilizzato come meccanismo anti-bot per la protezione del form di contatto. Cloudflare tratta autonomamente alcuni dati tecnici del visitatore (indirizzo IP, header HTTP, caratteristiche del browser e del dispositivo, segnali comportamentali) al fine di calcolare un punteggio di affidabilità e rilasciare al sito un token di verifica. Il servizio opera in modalità "invisibile", senza richiedere interazione visibile da parte dell'utente. Cloudflare agisce in qualità di Responsabile esterno del trattamento ex art. 28 GDPR per i dati raccolti per conto del Titolare. Maggiori informazioni sono disponibili nella Cloudflare Turnstile Privacy Addendum e nella Cloudflare Privacy Policy.
• Ulteriori fornitori di servizi tecnici (gestione e manutenzione del portale clienti e dei sistemi informatici) nominati Responsabili esterni ex art. 28 GDPR.
• Istituti di credito e gestori di pagamento autorizzati, limitatamente all'esecuzione delle operazioni finanziarie.

I dati personali non sono diffusi e non vengono ceduti a terzi per finalità di marketing diverse da quelle dichiarate.

5. Trasferimenti extra-UE

L'esecuzione di spedizioni internazionali può comportare il trasferimento di dati personali (mittente, destinatario, descrizione merce, documentazione doganale) verso Paesi non appartenenti allo Spazio Economico Europeo. Tali trasferimenti avvengono esclusivamente in base a:

• Decisione di adeguatezza della Commissione UE, ove disponibile.
• Clausole Contrattuali Standard (SCC) approvate dalla Commissione UE.
• Necessità di esecuzione del contratto richiesto dall'interessato (art. 49.1.b GDPR).

Un trasferimento di dati al di fuori del SEE può inoltre verificarsi nell'ambito dell'utilizzo dei fornitori di servizi tecnici sopra indicati, qualora questi si avvalgano di infrastrutture o di società del gruppo con sede negli Stati Uniti (in particolare Google e Cloudflare). Tali trasferimenti sono garantiti dalla decisione di adeguatezza della Commissione UE relativa al Data Privacy Framework UE-USA e/o dalle Clausole Contrattuali Standard (SCC) approvate dalla Commissione UE.

Un trasferimento ha inoltre luogo verso il Regno Unito, ove è ospitata l'infrastruttura della piattaforma di invio delle comunicazioni indicata al §4. Per tale Paese la Commissione europea ha adottato una decisione di adeguatezza (decisione di esecuzione (UE) 2021/1772, come modificata), attualmente in vigore: il trasferimento avviene pertanto ai sensi dell'art. 45 GDPR, senza necessità di garanzie ulteriori.

Un ulteriore trasferimento ha luogo verso Singapore, in ragione della sede del fornitore delle piattaforme indicate al §4, indipendentemente dal Paese in cui i dati sono ospitati. Per tale Paese la Commissione europea non ha adottato una decisione di adeguatezza: il trasferimento è pertanto garantito dalle Clausole Contrattuali Standard (SCC) approvate dalla Commissione UE, incorporate nell'accordo sul trattamento dei dati stipulato con il fornitore.

6. Periodo di conservazione

I dati personali sono conservati per il tempo strettamente necessario alle finalità per cui sono stati raccolti:

• Dati contrattuali e di fatturazione: 10 anni dalla chiusura del rapporto, in conformità all'art. 2220 del Codice Civile e alla normativa fiscale.
• Registro dei solleciti di pagamento: per lo stesso termine dei dati contrattuali e di fatturazione (10 anni dalla chiusura del rapporto), costituendo evidenza dell'attività di sollecito rilevante ai fini della gestione e dell'eventuale tutela del credito.
• Dati di contatto pre-contrattuale: fino a 24 mesi dall'ultimo contatto, salvo evoluzione in rapporto contrattuale.
• Dati per finalità di marketing: fino a revoca del consenso da parte dell'interessato.
• Dati tecnici di sicurezza anti-spam del form: per il tempo strettamente necessario alle finalità di prevenzione abusi e comunque non oltre 12 mesi, salvo necessità di conservazione per la difesa di un diritto.
• Log tecnici e dati di navigazione: secondo quanto indicato nella Cookie Policy.

Decorsi tali termini, i dati sono cancellati o resi anonimi in modo irreversibile, salvo specifici obblighi di legge che ne impongano una conservazione più estesa.

7. Diritti dell'interessato

L'interessato può esercitare in qualsiasi momento, scrivendo a info@youship.it, i seguenti diritti previsti dagli articoli 15-22 del GDPR:

• Diritto di accesso ai propri dati personali (art. 15).
• Diritto di rettifica dei dati inesatti o incompleti (art. 16).
• Diritto alla cancellazione ("diritto all'oblio") (art. 17), nei limiti previsti dalla normativa applicabile.
• Diritto di limitazione del trattamento (art. 18).
• Diritto alla portabilità dei dati (art. 20), ove tecnicamente possibile.
• Diritto di opposizione al trattamento (art. 21), sia per le finalità di marketing sia per i trattamenti fondati sul legittimo interesse del Titolare indicati al §3, ivi compreso l'invio dei solleciti di pagamento. L'esercizio di tale diritto non incide sull'esistenza e sull'esigibilità del credito, né sulle comunicazioni che il Titolare sia tenuto a inviare in adempimento di un obbligo di legge o in esecuzione del contratto.
• Diritto di revoca del consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca.

L'interessato ha inoltre diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) qualora ritenga che il trattamento dei propri dati violi la normativa applicabile.

8. Modalità di trattamento e sicurezza

Il trattamento dei dati personali avviene con strumenti elettronici e, ove necessario, cartacei, adottando misure tecniche e organizzative adeguate a garantire la riservatezza, l'integrità e la disponibilità dei dati (cifratura in transito, controllo degli accessi, backup periodici, formazione del personale autorizzato).

Il form di contatto pubblicato sul sito trasmette i dati su connessione cifrata ed è protetto da meccanismi anti-spam articolati su più livelli: verifica anti-bot mediante Cloudflare Turnstile in modalità "invisibile" (senza interazione richiesta all'utente), campo trappola, controllo del tempo di compilazione e limiti di frequenza di invio per indirizzo IP e per indirizzo email. Tali misure sono volte esclusivamente a prevenire invii automatizzati, abusi e attacchi di reflection. Per il dettaglio dei dati trattati a tali fini e dei soggetti coinvolti si rinvia al §2 e al §4 della presente informativa.

L'invio dei solleciti di pagamento è disposto da una procedura automatizzata che verifica lo stato delle fatture e i termini di scadenza; un operatore autorizzato può inoltre disporne l'invio manualmente. La procedura si limita all'invio della comunicazione e alla registrazione del relativo esito: non comporta processi decisionali automatizzati, né profilazione, che producano effetti giuridici sull'interessato o incidano in modo analogamente significativo sulla sua persona ai sensi dell'art. 22 GDPR.

9. Modifiche alla presente informativa

Il Titolare si riserva il diritto di aggiornare la presente informativa in caso di modifiche normative o organizzative. La versione vigente è sempre pubblicata su questa pagina con indicazione della data di ultimo aggiornamento riportata in apertura del documento.