Informativa sulla privacy del negozio Herbablast

Data dell'ultimo aggiornamento: 24 settembre 2026

§ 1. Titolare del trattamento dei dati personali

Titolare del trattamento dei dati personali raccolti tramite il negozio online herbablast.eu è Konrad Siej, titolare di ditta individuale, NIP: 7141984367, REGON: 523848745, con sede in ul. Władysława Łokietka 2, 21-100 Lubartów, Polonia (di seguito: «Titolare»).

Contatto per questioni relative ai dati personali: hello@herbablast.eu.

§ 2. Quali dati raccogliamo e per quale scopo

2.1. Dati forniti nel modulo d'ordine

Durante l'invio dell'ordine raccogliamo i seguenti dati:

• nome e cognome,
• indirizzo di consegna,
• indirizzo e-mail,
• numero di telefono,
• dati per l'emissione della fattura (NIP, ragione sociale) — solo se selezioni l'opzione «Voglio una fattura intestata all'azienda»,
• il testo della nota all'ordine — se decidi di aggiungerla.

Finalità del trattamento: conclusione ed esecuzione del contratto di vendita, compresa la consegna, l'emissione della fattura (se applicabile), la gestione dei reclami e il contatto relativo all'ordine.

Base giuridica: art. 6, par. 1, lett. b) del GDPR (trattamento necessario all'esecuzione di un contratto di cui l'interessato è parte o all'esecuzione di misure precontrattuali adottate su richiesta dello stesso).

2.2. Newsletter

Se decidi di iscriverti alla newsletter del Negozio, tratteremo il tuo indirizzo e-mail per inviarti informazioni su novità, promozioni e offerta del Negozio.

Finalità del trattamento: invio di contenuti di marketing per via elettronica (newsletter).

Base giuridica: art. 6, par. 1, lett. a) del GDPR (consenso dell'interessato) — l'iscrizione alla newsletter avviene esclusivamente mediante un'azione volontaria ed esplicita (opt-in). Il consenso può essere revocato in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca, ad es. tramite il link di cancellazione presente in ogni messaggio o contattando il Titolare.

2.3. Dati derivanti da obblighi di legge (ad es. ricevute/fatture)

Se emettiamo un documento di vendita, trattiamo i dati nella misura richiesta dalle norme fiscali e contabili.

Base giuridica: art. 6, par. 1, lett. c) del GDPR (obbligo legale cui è soggetto il titolare).

2.4. Corrispondenza e-mail

Se ci contatti via e-mail (hello@herbablast.eu), trattiamo i dati contenuti nella corrispondenza per fornirti una risposta.

Base giuridica: art. 6, par. 1, lett. f) del GDPR (legittimo interesse del titolare — gestione della corrispondenza).

2.5. Notifiche sugli ultimi ordini nel Negozio

Nel Negozio è attivo un meccanismo di notifiche sugli ultimi ordini (cosiddetta riprova sociale). Dopo l'invio di un ordine, sul sito del Negozio può comparire una breve notifica automatica del tipo «Qualcuno da [città] ha acquistato [nome del prodotto]», visibile agli altri visitatori del Negozio in quel momento.

La notifica contiene esclusivamente il nome della località indicata nell'indirizzo di consegna e i nomi dei prodotti ordinati. Non vengono mostrati nome, cognome, indirizzo completo, indirizzo e-mail, numero di telefono, valore dell'ordine né altri dati che consentano di identificare il Cliente. Le notifiche vengono mostrate solo in tempo reale — non ne creiamo un elenco pubblico né un archivio accessibile ai visitatori.

Finalità del trattamento: informare i visitatori sull'attività corrente del Negozio e costruire fiducia nel Negozio.

Base giuridica: art. 6, par. 1, lett. f) del GDPR (legittimo interesse del titolare — costruire fiducia nel Negozio e mostrarne l'attività corrente).

L'ambito delle informazioni mostrate nella notifica (solo il nome della località insieme al nome del prodotto, senza alcun dato identificativo) non consente ai visitatori di risalire all'identità del Cliente. Questo meccanismo non costituisce profilazione né processo decisionale automatizzato ai sensi dell'art. 22 del GDPR, e i dati del Cliente non vengono in relazione a esso trasmessi ad alcun soggetto esterno — la notifica viene generata e mostrata esclusivamente all'interno del Negozio.

Il Cliente ha il diritto di opporsi a questo trattamento secondo le regole stabilite dall'art. 21 del GDPR (§ 7 punto 6 dell'Informativa).

§ 3. Trasmissione dei dati ai fornitori che effettuano la spedizione (modello dropshipping)

Il negozio Herbablast può operare secondo un modello in cui una parte o la totalità dei prodotti ordinati non viene tenuta a magazzino dal Titolare, ma confezionata e spedita direttamente da un fornitore/produttore esterno del prodotto (di seguito: «Fornitore»). Con lo sviluppo dell'offerta del Negozio, i prodotti possono provenire da diversi Fornitori indipendenti.

Di conseguenza, i dati necessari alla spedizione — nome, cognome, indirizzo di consegna e numero di telefono — vengono trasmessi al Fornitore competente esclusivamente per lo scopo e nella misura necessari a confezionare e spedire il prodotto ordinato.

Il Fornitore tratta i dati trasmessi esclusivamente per lo scopo e nella misura indicati dal Titolare, ossia solo per effettuare la spedizione dell'ordine, in base a un contratto di nomina a responsabile del trattamento concluso con lui ai sensi dell'art. 28 del GDPR. Il Titolare si assicura che ogni Fornitore a cui vengono affidati i dati garantisca un adeguato livello di protezione.

Base giuridica della trasmissione dei dati al Fornitore: art. 6, par. 1, lett. b) del GDPR (trattamento necessario all'esecuzione del contratto di vendita — la consegna è parte di tale contratto).

§ 4. Tracker e strumenti di analisi e marketing

Il Negozio utilizza i seguenti strumenti di analisi e marketing, che possono trattare dati personali sotto forma di identificativi del dispositivo, indirizzo IP e dati sul comportamento sul sito:

4.1. Principio del funzionamento basato sul consenso

Nessuno degli strumenti sopra indicati viene caricato nel browser dell'utente finché questi non presta il consenso. Alla prima visita del sito viene mostrato all'utente un banner con tre opzioni equivalenti:

• «Accetto tutti» — attiva entrambe le categorie (Analisi e Marketing),
• «Rifiuto» — nessuno degli strumenti sopra indicati viene attivato,
• «Personalizza» — consente di attivare/disattivare separatamente ciascuna delle due categorie (Analisi, Marketing).

La categoria «Necessari» (che comprende, tra l'altro, la memorizzazione della scelta effettuata sul consenso e il funzionamento del carrello) è sempre attiva e non richiede consenso, poiché è indispensabile per fornire il servizio richiesto dall'utente.

Base giuridica:

• per i cookie «Necessari» — art. 6, par. 1, lett. f) del GDPR (legittimo interesse del titolare, ossia garantire le funzionalità di base del sito) in combinato disposto con l'art. 173 della legge polacca sulle telecomunicazioni (archiviazione di informazioni o accesso a informazioni già archiviate nell'apparecchiatura terminale dell'utente, quando è necessario per la prestazione del servizio),
• per le categorie «Analisi» e «Marketing» — art. 6, par. 1, lett. a) del GDPR (consenso dell'interessato), espresso tramite il banner dei cookie.

Il consenso può essere revocato in qualsiasi momento modificando le impostazioni nel banner dei cookie, tramite il pulsante «Impostazioni cookie» disponibile nel piè di pagina di ogni pagina del Negozio.

4.2. Trasferimento dei dati al di fuori dello Spazio economico europeo

Google, Meta e Microsoft sono soggetti collegati a gruppi societari con sede negli Stati Uniti. Nella misura in cui i dati trattati da GA4, Meta Pixel o Microsoft Clarity possono essere trasferiti al di fuori dello Spazio economico europeo, ciò avviene sulla base delle clausole contrattuali standard approvate dalla Commissione europea (Standard Contractual Clauses), che fanno parte delle condizioni di trattamento dei dati (Data Processing Terms / Addendum) di ciascuno di questi fornitori.

§ 5. Responsabili del trattamento nell'infrastruttura tecnica

5.1. Supabase (database)

I dati degli ordini e il catalogo dei prodotti sono conservati in un database fornito da Supabase, configurato nella regione europea (Francoforte, Germania). Ciò significa che tali dati restano fisicamente nel territorio dell'Unione europea, il che semplifica la conformità al GDPR — per la sola conservazione dei dati non è necessario ricorrere alle clausole contrattuali standard per il trasferimento verso un paese terzo.

5.2. Vercel (hosting)

Il sito del Negozio è ospitato sulla piattaforma di Vercel Inc., soggetto con sede negli USA. Il trasferimento dei dati negli USA, nella misura necessaria all'hosting del sito, avviene sulla base delle clausole contrattuali standard incluse nel contratto con Vercel (Vercel Data Processing Addendum).

5.3. Resend (e-mail transazionali)

I messaggi transazionali automatici inviati dal Negozio dall'indirizzo no-reply@herbablast.eu (conferma della registrazione dell'account, reimpostazione della password, conferma della richiesta di eliminazione dell'account, conferma di ricezione dell'ordine, notifiche di spedizione e consegna dell'ordine, notifica di recensione nascosta e messaggio di benvenuto della newsletter) vengono consegnati tramite il servizio Resend. A tal fine Resend tratta l'indirizzo e-mail del destinatario e il contenuto del messaggio — nel caso dei messaggi relativi agli ordini, esso comprende il nome del Cliente, l'indirizzo di consegna (via, codice postale, località), l'elenco dei prodotti ordinati con i prezzi e, se utilizzato, il codice sconto. Tramite Resend vengono inoltre trasmessi i messaggi inviati dal modulo di contatto (§ 2.4) all'indirizzo hello@herbablast.eu.

L'account del Negozio su Resend è configurato nella regione europea (Irlanda). Ciò significa che i messaggi inviati e i dati in essi contenuti restano nel territorio dell'Unione europea — per il solo trattamento e conservazione dei messaggi non è necessario ricorrere alle clausole contrattuali standard per il trasferimento verso un paese terzo. L'affidamento del trattamento dei dati è regolato da un contratto di nomina a responsabile (Data Processing Agreement) concluso con Resend al momento della creazione dell'account.

5.4. Przelewy24 (pagamenti)

I pagamenti degli ordini sono gestiti dal servizio Przelewy24, il cui operatore è PayPro S.A. con sede a Poznań (ul. Pastelowa 8, 60-198 Poznań, Polonia). Per l'esecuzione del pagamento trasmettiamo a PayPro S.A. l'indirizzo e-mail, il nome e cognome, nonché l'importo e il numero dell'ordine. PayPro S.A. tratta questi dati come titolare autonomo del trattamento — nella misura necessaria alla gestione e al regolamento del pagamento — secondo la propria informativa sulla privacy disponibile sul sito przelewy24.pl. Riceviamo indietro esclusivamente l'informazione sullo stato del pagamento e l'identificativo della transazione; non abbiamo accesso ai dati della tua carta né del tuo conto bancario.

§ 6. Periodo di conservazione dei dati

• I dati relativi all'evasione dell'ordine (nome, cognome, indirizzo, e-mail, telefono) vengono conservati per il periodo necessario all'esecuzione del contratto di vendita e alla gestione di eventuali reclami, e successivamente per il periodo richiesto dalle norme fiscali e contabili (di norma 5 anni, a decorrere dalla fine dell'anno in cui è scaduto il termine di pagamento dell'imposta relativa alla transazione) — per quanto riguarda i dati contenuti nei documenti di vendita.
• I dati trattati sulla base del consenso alla newsletter vengono conservati fino alla revoca del consenso (cancellazione dell'iscrizione).
• I dati raccolti dagli strumenti di analisi e marketing vengono conservati secondo i periodi di conservazione predefiniti impostati da ciascun fornitore:
  • Google Analytics 4: i dati sugli eventi vengono conservati per 2 mesi, i dati utente per 14 mesi,
  • Microsoft Clarity: le registrazioni delle sessioni vengono conservate per 30 giorni, i dati sui clic e le mappe di calore per 13 mesi,
  • Meta Pixel: i dati vengono conservati secondo la politica interna di conservazione di Meta (di norma fino a 2 anni per i dati pubblicitari, mentre alcuni dati, ad es. i pubblici personalizzati, possono avere periodi di conservazione più brevi e configurabili).

§ 7. Diritti dell'interessato

Il Cliente gode dei seguenti diritti previsti dal GDPR:

1. Diritto di accesso ai dati — art. 15 del GDPR,
2. Diritto di rettifica dei dati — art. 16 del GDPR,
3. Diritto alla cancellazione dei dati («diritto all'oblio») — art. 17 del GDPR,
4. Diritto di limitazione del trattamento — art. 18 del GDPR,
5. Diritto alla portabilità dei dati — art. 20 del GDPR,
6. Diritto di opposizione al trattamento basato sul legittimo interesse — art. 21 del GDPR,
7. Diritto di revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca — riguarda la newsletter e le categorie Analisi/Marketing nel banner dei cookie,
8. Diritto di proporre reclamo a un'autorità di controllo — in Polonia è il Presidente dell'Ufficio per la protezione dei dati personali (PUODO), ul. Stawki 2, 00-193 Varsavia.

Per esercitare i diritti sopra indicati, contattare il Titolare all'indirizzo hello@herbablast.eu.

§ 8. Natura facoltativa del conferimento dei dati

Il conferimento dei dati personali nel modulo d'ordine è facoltativo, ma necessario per la conclusione e l'esecuzione del contratto di vendita — senza di essi non è possibile effettuare l'ordine. Il conferimento dell'indirizzo e-mail per l'iscrizione alla newsletter è del tutto facoltativo.

§ 9. Processo decisionale automatizzato e profilazione

Il Titolare non adotta nei confronti dei Clienti decisioni basate unicamente sul trattamento automatizzato dei dati, compresa la profilazione, che producano effetti giuridici nei confronti del Cliente o che incidano in modo analogo significativamente sulla sua persona. Strumenti come Meta Pixel possono essere utilizzati per mostrare pubblicità personalizzate, ma ciò non costituisce un processo decisionale automatizzato ai sensi dell'art. 22 del GDPR. Anche il meccanismo di notifiche sugli ultimi ordini descritto al punto 2.5 non costituisce profilazione né processo decisionale automatizzato ai sensi dell'art. 22 del GDPR.

§ 10. Modifiche dell'Informativa sulla privacy

Il Titolare si riserva il diritto di apportare modifiche alla presente Informativa sulla privacy, in particolare in relazione a modifiche normative, cambiamenti nell'ambito di attività del Negozio, attivazione di nuove funzionalità (ad es. newsletter, pagamenti Przelewy24) o cambio dei fornitori di servizi tecnici. La versione aggiornata del documento è sempre disponibile all'indirizzo herbablast.eu/polityka-prywatnosci.