Informativa sulla privacy

Titolare del trattamento

Il responsabile del trattamento dei dati personali raccolti su questo sito è il titolare identificato nelle note legali. Considerata la dimensione dell’attività, non è stato nominato un responsabile della protezione dei dati: qualsiasi domanda relativa ai suoi dati può essere inviata direttamente all’indirizzo e-mail che figura nelle note legali.

Dati raccolti

A seconda dell’uso che fa del sito, raccogliamo le seguenti categorie di dati: account cliente (indirizzo e-mail, password conservata in forma cifrata, nome, cognome, telefono, lingua preferita, data del consenso GDPR fornito al momento della registrazione); indirizzi di consegna e di fatturazione (nome del destinatario, indirizzo postale, telefono e, se del caso, riferimento del punto di ritiro scelto, nonché la ragione sociale per un ordine professionale); ordini (carrello, articoli, prezzi, modalità di consegna, codice sconto utilizzato, stato, cronologia delle modifiche di indirizzo e fatture); portafoglio fedeltà, quando il programma è attivo (saldo, lotti di credito e date di scadenza, cronologia dei movimenti, scelta di utilizzare il portafoglio su un ordine e preferenze di promemoria di scadenza); contenuti che salva sul sito (preferiti, carrelli con nome che conserva da una visita all’altra); informazioni che inserisce liberamente al momento dell’ordine, in particolare la nota d’ordine, che può contenere le misure che ci trasmette per un set su misura; il dettaglio di un set composto (unghie scelte, design, forma, lunghezza, taglia comune e dito di ciascuna), conservato nel carrello e, in caso di ordine, sull’ordine; una richiesta di taglia non proposta per un set composto (indirizzo e-mail, commento facoltativo, taglia richiesta, unghie e dita); modulo di contatto (indirizzo e-mail, identità, messaggio e, se ha effettuato l’accesso, le informazioni del suo account necessarie per la risposta); dati tecnici e di sicurezza (indirizzo IP e informazioni sul browser, registrati al momento dell’accesso e del rinnovo della sessione).

Se sceglie di accedere con Google o con Facebook, riceviamo dal fornitore interessato unicamente un identificativo tecnico stabile del suo account presso di lui (identificativo «sub» per Google, identificativo utente per Facebook), l’indirizzo e-mail associato a tale account e, per Google, la conferma che tale indirizzo è stato verificato. Nessun altro elemento del suo profilo viene richiesto o ricevuto: né foto, né lista di amici, né pubblicazioni, né contenuti del suo account. Il token di identificazione rilasciato da Google o Facebook serve unicamente a verificare la sua identità presso il fornitore al momento dell’accesso: non viene mai registrato. Se il suo account deve ancora essere creato, questi elementi (identificativo del fornitore, indirizzo e-mail, lingua) vengono inseriti in un token di registrazione temporaneo e monouso, il tempo necessario perché lei accetti le condizioni e la presente informativa. Nessuna password viene creata né conservata per un account aperto in questo modo.

Per quanto riguarda il pagamento: i dati della sua carta di credito (numero, data di scadenza, codice di sicurezza) non transitano mai dai nostri server e non vi sono mai archiviati. Vengono inseriti e conservati direttamente presso il nostro fornitore di pagamento, Stripe, certificato PCI DSS. Se sceglie di salvare un metodo di pagamento per i suoi prossimi acquisti, riceviamo e conserviamo soltanto il circuito della carta, le sue ultime quattro cifre, la data di scadenza e un identificativo tecnico Stripe.

Se utilizza la funzionalità di offerta regalo: in qualità di chi offre, raccogliamo la sua e-mail, il suo nome, il messaggio facoltativo che redige, il budget che fissa, nonché la versione cifrata e non reversibile del codice a 4 cifre che sceglie per proteggere l’accesso alla sua offerta (il codice stesso non viene mai conservato in chiaro né comunicato via e-mail dopo la creazione dell’offerta); in qualità di persona destinataria, raccogliamo il nome che indica e l’indirizzo di consegna che inserisce al momento della sua selezione, ma mai il suo indirizzo e-mail, che non viene né richiesto né raccolto.

Anche il suo browser conserva i dati funzionali che gli affida: lingua di visualizzazione; quando non ha effettuato l’accesso, carrello, preferiti, indirizzi e recapiti inseriti, scelte di consegna e fatturazione, opzione express e codice sconto; durante il pagamento, riferimenti tecnici e informazioni descrittive limitate dei metodi di pagamento (ad esempio circuito e ultime quattro cifre), mai il numero completo né il codice di sicurezza.

Finalità del trattamento

Questi dati sono utilizzati per creare e gestire il suo account cliente, anche quando sceglie di crearlo o di accedervi con Google o Facebook; trattare, realizzare, spedire e tracciare i suoi ordini; emettere le relative fatture; gestire i pagamenti e prevenire le frodi; gestire il programma fedeltà (calcolo, attribuzione, utilizzo, scadenza dei crediti e promemoria associati); proporre e gestire le offerte regalo, dalla loro creazione da parte di chi offre alla selezione da parte della persona destinataria fino al pagamento dell’ordine; gestire le richieste di reso, di rimborso e i reclami; rispondere alle sue richieste di contatto, compresa una richiesta di taglia per un set composto, e garantire il servizio post-vendita; garantire la sicurezza del sito e del suo account; rispettare i nostri obblighi legali e contabili; e memorizzare le sue preferenze (lingua, carrello, preferiti) da una visita all’altra.

I suoi dati non sono mai utilizzati per pubblicità mirata per conto di terzi, non sono rivenduti e non sono oggetto di alcuna decisione interamente automatizzata che produca effetti giuridici nei suoi confronti.

Possiamo invece inviarle e-mail che presentano le nostre creazioni e offerte: novità, promozioni, promemoria di un carrello in corso, o avviso quando un articolo messo tra i preferiti viene venduto o torna disponibile. Lei mantiene il controllo su questi invii: dalle impostazioni delle notifiche della sua area personale, ogni categoria può essere disattivata separatamente, e un interruttore generale consente di bloccare tutte le e-mail non indispensabili. I messaggi strettamente necessari al funzionamento del suo account e dei suoi ordini (conferma d’ordine, spedizione, fattura, sicurezza, reimpostazione della password, promemoria di scadenza del portafoglio fedeltà quando non li ha disattivati) continuano a essere inviati.

Base giuridica

Il trattamento si fonda, a seconda dei casi, sull’esecuzione del contratto di vendita o di misure precontrattuali (creazione dell’account, gestione dell’ordine, pagamento, consegna, programma fedeltà, offerte regalo), sul rispetto di obblighi legali e contabili (conservazione delle fatture), sul legittimo interesse del titolare a garantire la sicurezza del sito, a rispondere alle richieste ricevute, a prevenire le frodi e a informare la propria clientela delle proprie creazioni e offerte, e, per il consenso GDPR raccolto al momento della registrazione o della creazione di un’offerta regalo, sul suo consenso espresso. Le e-mail di informazione commerciale possono essere rifiutate in qualsiasi momento, senza doversi giustificare e senza alcuna conseguenza sui suoi ordini.

L’accesso con Google o Facebook rientra nell’esecuzione del contratto e delle misure precontrattuali (creare il suo account e darle accesso ad esso). Resta facoltativo: l’accesso con indirizzo e-mail e password è sempre disponibile. La creazione di un account per questa via avviene solo dopo la raccolta del suo consenso espresso alle condizioni e alla presente informativa.

Durata di conservazione

I dati del suo account sono conservati finché questo resta attivo, poi eliminati al termine del periodo indicato in caso di richiesta di cancellazione dell’account. I dati del portafoglio fedeltà (saldo, lotti e cronologia) sono conservati con il suo account e cancellati alla sua eliminazione, fatto salvo quanto già consolidato sugli ordini interessati. I dati di ordine e di fatturazione sono conservati per la durata imposta dagli obblighi contabili e fiscali (10 anni dalla chiusura dell’esercizio, Codice di commercio francese). I metodi di pagamento salvati sono conservati da Stripe fino alla loro eliminazione da parte sua o alla chiusura del suo account. Gli scambi tramite il modulo di contatto sono conservati per il tempo necessario alla gestione della sua richiesta, e i dati di connessione per la durata strettamente necessaria alla sicurezza del servizio. Il collegamento con il suo account Google o Facebook (identificativo del fornitore e indirizzo e-mail associato) è conservato finché tale collegamento esiste: viene cancellato quando lo dissocia dalla sua area personale o quando il suo account viene eliminato. I token di registrazione temporanei creati in occasione di un primo accesso tramite Google o Facebook scadono dopo qualche minuto e possono essere utilizzati una sola volta.

Una richiesta di taglia per un set composto (indirizzo e-mail, eventuale commento, taglia, unghie e dita) è conservata per il tempo necessario a rispondervi e a darne seguito. Se tale richiesta sfocia in un ordine, i dati dell’ordine seguono le regole sopra indicate.

I dati di un’offerta regalo (e-mail e nome di chi offre, eventuale messaggio, codice di accesso cifrato, nome e indirizzo di consegna della persona destinataria) sono conservati per il tempo della selezione e, se l’offerta si conclude con un ordine, insieme ai dati di tale ordine secondo le regole sopra indicate. Se l’offerta non si conclude (annullata o scaduta senza pagamento), questi dati sono cancellati automaticamente al più tardi 13 mesi dopo la creazione dell’offerta, conformemente alle raccomandazioni della CNIL per i dati che non sfociano in una vendita.

La lingua resta memorizzata finché non la cambia o non cancella i dati del browser. I dati non sensibili del carrello senza accesso scadono al massimo 15 giorni dopo l’ultima modifica. Indirizzi, bozze e-mail o di identificazione e riferimenti di pagamento temporanei sono limitati alla scheda corrente e cifrati quando necessario. Sopravvivono a un ricaricamento finché la sessione di acquisto è valida, ma vengono cancellati dopo 30 minuti senza interazione o alla fine della sessione della scheda. Indirizzi e metodi di pagamento salvati nell’account non sono interessati.

Destinatari dei dati

I suoi dati non sono né venduti né ceduti a terzi per finalità commerciali. Possono essere trasmessi, nella stretta misura necessaria e nell’ambito di contratti conformi al GDPR, a Stripe (trattamento dei pagamenti con carta, PayPal, Bancontact, Google Pay e Apple Pay, fornitore certificato PCI DSS), al corriere scelto al momento dell’ordine (ad esempio Mondial Relay), alla sola finalità della consegna, nonché al nostro provider di hosting e al nostro fornitore di invio e-mail, per l’hosting del sito e l’invio delle e-mail transazionali (conferma d’ordine, risposte alle sue richieste). Quando un’offerta regalo si conclude con un ordine, l’indirizzo indicato dalla persona destinataria viene trasmesso al corriere alle stesse condizioni.

Quando utilizza l’accesso con Google o Facebook, Google e Meta agiscono come titolari del trattamento indipendenti per l’autenticazione che effettuano: sanno che lei si è autenticato su questo sito e possono trattare in tale occasione dati tecnici (indirizzo IP, informazioni sul browser) secondo le proprie informative sulla privacy, sulle quali non abbiamo alcun controllo. Da parte nostra, non trasmettiamo loro alcun dato di ordine, di pagamento o di consegna. Il ricorso a questo accesso è facoltativo: può creare e utilizzare un account senza mai servirsene.

Alcuni di questi fornitori e fornitori di autenticazione, in particolare Stripe, Google e Meta, possono essere stabiliti al di fuori dell’Unione europea; tale trasferimento è allora disciplinato da clausole contrattuali tipo approvate dalla Commissione europea o da un meccanismo equivalente che garantisca un livello di protezione adeguato dei suoi dati.

Sicurezza dei dati

Il titolare adotta misure tecniche e organizzative ragionevoli per proteggere i suoi dati. Gli scambi con il sito sono cifrati end-to-end (HTTPS) e le password sono conservate in forma cifrata, mai in chiaro.

I dati personali sensibili sono inoltre cifrati all’interno del database stesso, e non solo in transito: identità e nome del destinatario, indirizzi postali di consegna e di fatturazione, CAP, città, numero di telefono, ragione sociale, note d’ordine e cronologia delle modifiche di indirizzo sono registrati in forma cifrata. Una lettura diretta del database non consente quindi di prenderne conoscenza.

Nel browser, le informazioni sensibili del checkout sono cifrate con una chiave specifica della scheda che esiste solo in memoria. Un ricaricamento può recuperarla solo presentando il token opaco di una sessione di checkout ancora valida; la scadenza per inattività cancella i dati sensibili e impedisce di riattivare la vecchia sessione.

Infine, nessun dato di carta di credito transita dai nostri server né vi è archiviato: tale dato è gestito interamente da Stripe.

Cookie e tracciatori

Il sito non utilizza alcuno strumento di misurazione del pubblico né tracciatore pubblicitario. Il suo cookie HTTP «refresh_token» serve unicamente per l’autenticazione e la sua sicurezza: senza «ricordami» scade alla chiusura della sessione del browser; con questa opzione, scade dopo 7 giorni. Il cookie di sessione «psn-admin-landed-v1» (senza token) ricorda che il reindirizzamento all’amministrazione è già avvenuto per questa apertura del browser.

Archiviazioni del sito nel browser: «psn-lang» (lingua, localStorage); «psn-theme-preference-v1» e «psn-contrast-preference-v1» (aspetto e contrasto, localStorage, conservati finché non vengono modificati o cancellati dal browser); «psn-auth-hint» (possibile sessione di accesso, localStorage); «psn-onboarding-v1» (presentazione boutique già vista, localStorage); «psn-guest-cart-v3» (carrello, compreso un set composto, preferiti, consegna e codice sconto, localStorage, 15 giorni); «psn-gift-lock-v1» (blocco negozio regalo senza token, localStorage, 2 ore, o fino all’apertura del link spazio regalo del donatore); «psn-gift-lock-session-v1» (token del regalo in questa scheda, sessionStorage); «psn-gift-create-draft-v1» (bozza del modulo di offerta regalo in questa scheda, sessionStorage); «psn-checkout-privacy-token-v1» (token opaco della sessione di checkout, sessionStorage); «psn-guest-card-vault-v1» e «psn-checkout-ephemeral-vault-v1» (indirizzi e riferimenti di pagamento temporanei cifrati, sessionStorage; chiave grezza in memoria); e bozze temporanee di checkout e identificazione in sessionStorage. I dati sensibili vengono cancellati dopo 30 minuti senza interazione.

Stripe viene caricato unicamente al momento dell’aggiunta di un metodo di pagamento o di un pagamento, in particolare per la sicurezza e la prevenzione delle frodi. Mondial Relay e i suoi componenti cartografici vengono caricati all’apertura del selettore di punto di ritiro. I video integrati utilizzano la modalità di privacy avanzata di YouTube. Questi fornitori possono ricevere dati tecnici e utilizzare le proprie archiviazioni necessarie alla fornitura della loro funzionalità.

I componenti «Accedi con Google» e «Accedi con Facebook» vengono caricati da accounts.google.com e connect.facebook.net nelle pagine che propongono l’accesso. Il suo browser può allora trasmettere a tali fornitori i cookie che essi stessi hanno depositato sui propri domini, al fine di proporle l’account con cui è già connesso presso di loro. Non viene attivato alcun accesso automatico e nessun dato giunge a questo sito finché non ha fatto clic e confermato l’autorizzazione presso il fornitore. Il componente Facebook è configurato per non depositare alcun cookie sul nostro dominio. Questi componenti servono unicamente all’autenticazione, mai alla misurazione del pubblico né alla pubblicità.

Le archiviazioni interne del sito elencate sopra sono necessarie ai servizi richiesti (autenticazione, carrello, pagamento, consegna e preferenze) e non sono utilizzate dal titolare a fini pubblicitari; conformemente alle raccomandazioni della CNIL, non richiedono la raccolta del consenso.

Hosting dei dati

Il sito è ospitato dal fornitore identificato nelle note legali.

I suoi diritti

Conformemente al Regolamento generale sulla protezione dei dati (GDPR) e alla legge francese sulla protezione dei dati, dispone di un diritto di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità dei suoi dati, nonché del diritto di revocare in qualsiasi momento il suo consenso GDPR. Può inoltre stabilire direttive relative alla sorte dei suoi dati dopo il suo decesso.

L’esercizio di questi diritti conosce un limite: i dati che la legge ci impone di conservare, in particolare le fatture, non possono essere cancellati prima della scadenza legale, anche dopo la cancellazione del suo account.

Per esercitare questi diritti, ci contatti all’indirizzo e-mail indicato nelle note legali, oppure dalla sua area personale per la cancellazione del suo account o per dissociare il suo account Google o Facebook, previa conferma di sicurezza (inserimento della password o codice inviato via e-mail). Le viene fornita una risposta entro un mese, prorogabile se la richiesta è complessa. Ha inoltre il diritto di presentare un reclamo alla CNIL (www.cnil.fr).

Modifica dell’informativa

Questa informativa sulla privacy può essere aggiornata in qualsiasi momento. Consulti la data dell’ultimo aggiornamento in cima a questa pagina.