Informativa sulla privacy

2. Dati raccolti

Nell'ambito dell'utilizzo della nostra piattaforma raccogliamo e trattiamo i seguenti dati personali:

2.1 In fase di registrazione

• Nominativo (nome e cognome)
• Indirizzo e-mail
• Password (memorizzata in forma cifrata)
• Numero di telefono (facoltativo)

2.2 Durante l'utilizzo della piattaforma

• Annunci di veicoli e dati correlati (immagini, descrizioni, prezzi)
• Richieste di acquisto rivolte ai venditori (nome, indirizzo e-mail, numero di telefono facoltativo, messaggio)
• Richieste inviate tramite il modulo di contatto
• Lista dei preferiti, ricerche salvate e iscrizione alla newsletter (solo se utilizza queste funzioni)

2.3 Dati raccolti automaticamente

• Indirizzo IP
• Tipo e versione del browser
• Sistema operativo
• Data e ora dell'accesso
• URL di provenienza (referrer)

2.4 Annunci di veicoli, caricamento di immagini e documenti del veicolo

Quando crea annunci di veicoli, trattiamo le immagini dei veicoli da Lei caricate e i dati dell'annuncio (descrizioni, dati tecnici, prezzi, ubicazione). Questo trattamento è necessario all'esecuzione del contratto di utilizzo e avviene sulla base dell'art. 6, par. 1, lett. b) GDPR (esecuzione di un contratto). Con la pubblicazione dell'annuncio i contenuti diventano visibili agli altri utenti della piattaforma.

A un annuncio può inoltre allegare documenti del veicolo (ad es. documenti di circolazione, fatture, perizie). Questi documenti non vengono pubblicati. Sono consultabili soltanto da Lei e vengono resi disponibili agli interessati solo se Lei li rilascia espressamente per una specifica richiesta di acquisto, tramite un link a tempo limitato che scade dopo sette giorni o dopo un numero limitato di accessi e che può revocare in qualsiasi momento. La base giuridica è l'art. 6, par. 1, lett. b) GDPR.

La base giuridica del trattamento è l'art. 6, par. 1, lett. b) GDPR (esecuzione di un contratto) nonché l'art. 6, par. 1, lett. f) GDPR (legittimo interesse).

3. Cookie e consenso

Sul nostro sito web utilizziamo cookie. I cookie sono piccoli file di testo memorizzati sul Suo dispositivo. I cookie tecnicamente necessari servono a fornire le funzioni di base del sito, in particolare l'autenticazione e la gestione della sessione (accesso). Questi cookie vengono impostati senza un consenso separato; la base giuridica è il § 25, comma 2, TDDDG in combinazione con l'art. 6, par. 1, lett. f) GDPR (legittimo interesse a una fornitura sicura e funzionante del sito web).

Utilizziamo inoltre cookie statistici facoltativi (ad es. Google Analytics 4) esclusivamente se ha prestato in precedenza il Suo consenso esplicito tramite il nostro banner dei cookie. La base giuridica è il Suo consenso ai sensi del § 25, comma 1, TDDDG in combinazione con l'art. 6, par. 1, lett. a) GDPR. Senza il Suo consenso non viene impostato alcun cookie statistico o di analisi.

Il Suo consenso è facoltativo e può essere revocato in qualsiasi momento con effetto per il futuro. Può modificare o revocare la Sua scelta in qualsiasi momento tramite il link «Impostazioni cookie» nel footer del sito. Per la rilevazione dei dati statistici è attiva l'anonimizzazione dell'indirizzo IP.

3.1 Google Analytics

Se ha prestato il Suo consenso nel banner dei cookie («Accetta», oppure statistiche attivate nelle impostazioni), utilizziamo Google Analytics 4, un servizio di analisi web di Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland («Google»). Senza il Suo consenso Google Analytics non viene caricato: non vengono impostati cookie di analisi né trasmessi dati di utilizzo a Google. Google Analytics serve alla misurazione dell’audience e ci aiuta a valutare statisticamente l’utilizzo del nostro sito web e a migliorarlo. A tal fine vengono trattati dati di utilizzo (ad es. pagine visitate, orario e durata della visita, provenienza approssimativa, tipi di dispositivo e di browser utilizzati) mediante cookie (_ga, _ga_*). Il Suo indirizzo IP viene abbreviato; Google Analytics 4 non memorizza indirizzi IP completi. Google Signals (analisi multi-dispositivo), le funzioni pubblicitarie e la condivisione dei dati con Google per scopi propri (impostazioni di condivisione dei dati) sono disattivati. I dati sugli eventi vengono cancellati automaticamente dopo 14 mesi.

Google tratta i dati per nostro conto; è stato stipulato un accordo sul trattamento dei dati ai sensi dell’art. 28 GDPR. In tale contesto i dati possono essere trasferiti anche a Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Il trasferimento si basa sulla decisione di adeguatezza della Commissione europea relativa al quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework, art. 45 GDPR), nell’ambito del quale Google LLC è certificata; inoltre, le clausole contrattuali tipo della Commissione europea fanno parte delle condizioni di trattamento dei dati di Google. La base giuridica è esclusivamente il Suo consenso ai sensi del § 25, comma 1, TDDDG e dell’art. 6, par. 1, lett. a) GDPR. Può revocarlo in qualsiasi momento con effetto per il futuro tramite il link «Impostazioni cookie» nel footer; Google Analytics viene quindi disattivato e i cookie di analisi vengono cancellati. Ulteriori informazioni: https://policies.google.com/privacy

4. Hosting

Il nostro sito web è ospitato presso DigitalOcean (App Platform). I server si trovano nel centro dati di Frankfurt am Main, Germania (UE). Il fornitore è:

DigitalOcean, LLC
101 Avenue of the Americas, 10th Floor
New York, NY 10013, USA

Il trattamento dei dati avviene su server situati all’interno dell’Unione europea. Con DigitalOcean è stato stipulato un accordo sul trattamento dei dati (DPA) ai sensi dell’art. 28 GDPR. Nella misura in cui non si possa escludere un accesso dagli Stati Uniti, ad esempio nell’ambito della manutenzione o dell’assistenza, tale trasferimento è tutelato dalle clausole contrattuali tipo della Commissione europea incluse nel DPA (art. 46, par. 2, lett. c) GDPR). La base giuridica è l’art. 6, par. 1, lett. f) GDPR (legittimo interesse a una fornitura affidabile del sito web).

La banca dati della piattaforma è gestita come servizio di database gestito da DigitalOcean nella stessa regione. Il fornitore crea automaticamente ogni giorno una copia di sicurezza, conservata per sette giorni e poi sovrascritta; le copie di sicurezza servono esclusivamente al ripristino dopo un guasto.

Quando si accede al sito web, nell'infrastruttura del provider di hosting vengono generati log tecnici di accesso e di errore (indirizzo IP, data e ora, indirizzo richiesto, identificativo del browser). Il provider di hosting li conserva solo per breve tempo ai fini dell'analisi degli errori e della difesa da malfunzionamenti e attacchi; non li trasmettiamo a terzi e non li utilizziamo per altri scopi.

Le richieste al nostro sito web transitano attraverso la rete di Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, che DigitalOcean impiega come sub-responsabile del trattamento per il livello di rete dell’App Platform (instradamento, memorizzazione temporanea di file statici, protezione da attacchi). In tale contesto vengono trattati dati di connessione come il Suo indirizzo IP, l’orario e l’indirizzo richiesto. Questo trattamento è coperto dal DPA con DigitalOcean; nella misura in cui i dati vengono trasferiti negli Stati Uniti, ciò si basa sulla decisione di adeguatezza relativa al quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework), nell’ambito del quale Cloudflare è certificata, nonché su clausole contrattuali tipo. La base giuridica è l’art. 6, par. 1, lett. f) GDPR (legittimo interesse a una fornitura sicura e rapida del sito web).

5. Archiviazione di immagini e documenti (object storage)

I file caricati non vengono salvati sul server web, ma nell'object storage DigitalOcean Spaces di DigitalOcean, LLC (indirizzo: vedere la sezione 4) nella regione di Frankfurt am Main, dal quale vengono anche distribuiti. Ciò riguarda le immagini dei veicoli, le immagini degli articoli della rivista, le immagini del profilo e di copertina, i documenti giustificativi caricati nell'ambito della verifica dei concessionari, i documenti del veicolo allegati agli annunci e le fatture da noi emesse.

Vengono trattati il contenuto del file stesso, un nome file generato automaticamente e i dati di connessione raccolti al momento del richiamo (in particolare indirizzo IP e orario). Le immagini caricate vengono rielaborate lato server prima dell'archiviazione; i metadati in esse contenuti (ad es. dati EXIF con coordinate GPS) non vengono conservati.

Le immagini dei veicoli, della rivista e dei profili sono pubblicamente accessibili, come previsto dalla loro finalità, e vengono distribuite tramite la rete di distribuzione dei contenuti (CDN) di DigitalOcean Spaces, dove una copia può rimanere nella cache fino a un'ora. Se la nostra amministrazione blocca un annuncio, anche le sue immagini vengono rese non pubbliche. I documenti giustificativi della verifica dei concessionari, i documenti del veicolo e le fatture vengono archiviati esclusivamente in forma non pubblica e distribuiti solo tramite accessi verificati e autenticati: i documenti giustificativi ai collaboratori autorizzati, i documenti del veicolo al venditore stesso e, dopo il suo rilascio, agli interessati tramite link a tempo limitato (sezione 2.4), le fatture al titolare dell'account.

La base giuridica è l'art. 6, par. 1, lett. b) GDPR (esecuzione di un contratto) per i caricamenti propri e l'art. 6, par. 1, lett. f) GDPR (legittimo interesse a una distribuzione performante) per il richiamo da parte dei visitatori. L'accordo sul trattamento dei dati stipulato con DigitalOcean ai sensi dell'art. 28 GDPR (sezione 4) comprende anche l'object storage e la CDN.

6. Invio di e-mail

Per l’invio di e-mail (ad es. conferme di registrazione, reimpostazioni della password, notifiche, fatture) utilizziamo il server di posta di Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, Germania.

Il trattamento avviene in centri dati situati in Germania. Vengono trattati esclusivamente i dati necessari all’invio.

A tal fine l'indirizzo e-mail del destinatario e il contenuto dell'e-mail vengono trasmessi al fornitore. È stato stipulato un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR. La base giuridica è l'art. 6, par. 1, lett. b) GDPR (esecuzione di un contratto).

7. Elaborazione dei pagamenti (Stripe)

I pacchetti a pagamento — pacchetti per concessionari e annuncio privato — vengono fatturati tramite il fornitore di servizi di pagamento Stripe: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlanda. Al momento della prenotazione viene reindirizzato a una pagina di pagamento di Stripe e inserisce i Suoi dati di pagamento (numero di carta o IBAN) direttamente presso Stripe. Noi non riceviamo dati completi della carta o del conto, ma soltanto il metodo di pagamento, le sue ultime quattro cifre, per le carte la data di scadenza e lo stato dei pagamenti.

A Stripe trasmettiamo il Suo nome o la Sua ragione sociale, il Suo indirizzo e-mail, il Suo indirizzo di fatturazione, la Sua lingua, un numero cliente interno nonché il pacchetto o l'annuncio prenotato e gli importi. Stripe tratta questi dati per eseguire i pagamenti e gli addebiti diretti. Nella misura in cui Stripe tratta dati a fini di prevenzione delle frodi e per adempiere ai propri obblighi di legge (ad esempio in materia di antiriciclaggio), Stripe ne è autonomo titolare.

La base giuridica è l’art. 6, par. 1, lett. b) del GDPR (esecuzione di un contratto) e l’art. 6, par. 1, lett. c) del GDPR (obblighi di legge). Stripe può trasferire dati anche a Stripe, Inc. negli Stati Uniti; il trasferimento si basa sulla decisione di adeguatezza relativa all’EU-US Data Privacy Framework, al quale Stripe è certificata, e sulle clausole contrattuali tipo della Commissione europea. Ulteriori informazioni: https://stripe.com/it/privacy

Conserviamo le fatture e i relativi dati di pagamento secondo le disposizioni del diritto commerciale e fiscale (vedere la sezione 9). Se cancella il Suo account, facciamo cancellare il Suo record cliente presso Stripe; le ricevute di pagamento restano conservate presso Stripe e presso di noi nell’ambito degli obblighi di conservazione previsti dalla legge. Se concessionari con sede in un altro Stato membro dell’UE indicano un numero di partita IVA, ne verifichiamo la validità tramite il sistema di scambio di informazioni sull’IVA (VIES) della Commissione europea; vengono trasmessi solo tale numero e il nostro numero di identificazione IVA (art. 6, par. 1, lett. b) e c) GDPR).

8. Caratteri tipografici e grafiche integrate

I caratteri utilizzati su questo sito web (Cormorant, Inter e JetBrains Mono) vengono distribuiti localmente dal nostro server. Sono integrati già in fase di compilazione dell'applicazione; al richiamo del sito non viene stabilita alcuna connessione a Google Fonts né ad altri servizi di caratteri. Il Suo indirizzo IP non viene quindi trasmesso a nessun fornitore di caratteri.

Anche le icone e le bandiere dei Paesi vengono distribuite come parte della pagina stessa e non caricate successivamente da un servizio di immagini esterno.

Durante la visita del sito, connessioni a servizi esterni all’infrastruttura di hosting descritta ai punti 4 e 5 si instaurano esclusivamente tramite la misurazione dell’audience descritta al punto 3.1 — e lì solo previo il Suo consenso esplicito. Quando prenota un pacchetto a pagamento, viene inoltre reindirizzato alla pagina di pagamento di Stripe (punto 7).

9. Periodi di conservazione e termini di cancellazione

Conserviamo i dati personali solo per il tempo necessario alla rispettiva finalità o previsto da obblighi di conservazione di legge. In particolare:

• Dati dell'account: per la durata del rapporto di utilizzo. In seguito a una richiesta di cancellazione — tramite le impostazioni dell'account o via e-mail — tutti i dati identificativi (nome, e-mail, numero di telefono, dati di indirizzo, dati del profilo e dell'azienda, credenziali di accesso compresi i secondi fattori) vengono sovrascritti in modo irreversibile; il record anonimizzato viene conservato solo nella misura necessaria a ricondurre le operazioni già concluse (ad esempio fatture). Gli account il cui indirizzo e-mail non è stato confermato entro 30 giorni dalla registrazione, nonché gli account non confermati privi di contenuti propri nei quali non è stato effettuato alcun accesso da 90 giorni, vengono cancellati automaticamente.
• Account bloccati: Un account che abbiamo bloccato per violazione delle condizioni di utilizzo resta memorizzato con i suoi dati e annunci per il tempo necessario a garantire la tracciabilità del caso e a prevenire abusi – in particolare affinché il blocco non possa essere aggirato con una nuova registrazione –, al massimo per tre anni dal blocco; è escluso dalla cancellazione automatica. Successivamente limitiamo i dati conservati a quanto necessario per far rispettare il blocco (indirizzo e-mail, data e motivo del blocco). Se un blocco viene revocato, si applicano nuovamente gli altri termini del presente punto.
• Annunci di veicoli: per la durata del piano acquistato (annuncio privato: 90 giorni). Successivamente vengono disattivati automaticamente e restano memorizzati per una riattivazione da parte del venditore. Con la cancellazione dell'account vengono cancellati le immagini e i documenti del veicolo; l'annuncio viene disattivato e privato del numero di telaio, della località e della descrizione.
• Token di accesso e di sessione: Un accesso resta valido al massimo sette giorni senza ulteriore utilizzo; i token scaduti vengono cancellati automaticamente da una procedura di manutenzione giornaliera. In caso di disconnessione o di cancellazione dell'account vengono rimossi immediatamente.
• Link e token monouso: I link per la conferma dell'indirizzo e-mail sono validi sette giorni, i link per la reimpostazione della password un'ora, i link per la conferma di un cambio di indirizzo 24 ore. I token scaduti vengono cancellati al più tardi dalla successiva procedura di manutenzione giornaliera.
• Richieste di acquisto rivolte ai venditori e messaggi tramite il modulo di contatto: dodici mesi dal ricevimento; successivamente vengono cancellati automaticamente. Le richieste di acquisto ricevute da un venditore vengono inoltre cancellate con la cancellazione del suo account.
• Rilasci di documenti del veicolo: Un link con cui un venditore invia documenti del veicolo a un interessato è valido sette giorni ed è limitato a un determinato numero di accessi; ogni accesso viene registrato con data e ora. Il rilascio e il registro degli accessi vengono cancellati 30 giorni dopo la scadenza o la revoca.
• Newsletter: fino alla revoca del consenso. Dopo la cancellazione, il record viene mantenuto come disiscritto, affinché lo stesso indirizzo non venga contattato di nuovo; un'iscrizione non confermata entro 30 giorni viene cancellata.
• Documenti giustificativi per la verifica dei concessionari: fino alla conclusione della verifica e per la durata del rapporto con il concessionario come prova dell'obbligo di verifica. Vengono cancellati 90 giorni dopo la fine del rapporto con il concessionario, 30 giorni dopo un rifiuto, dopo 90 giorni senza decisione sul documento e immediatamente con la cancellazione dell'account.
• Segnalazioni di annunci, concessionari e richieste: Conserviamo le segnalazioni e la relativa gestione per il tempo necessario a dimostrare che le segnalazioni di contenuti illegali sono state trattate (regolamento (UE) 2022/2065, Digital Services Act) e a prevenire violazioni ripetute, al massimo per dodici mesi dalla conclusione della gestione. Se la persona segnalante cancella il proprio account, il suo collegamento alla segnalazione viene rimosso.
• Registro di amministrazione: Gli interventi dei nostri collaboratori su account e annunci (ad esempio approvazioni, blocchi, note di verifica) vengono registrati con data e ora, record interessato e indirizzo IP abbreviato della persona che interviene, e cancellati dopo dodici mesi.
• Log del server: I log di accesso e di errore vengono generati presso il provider di hosting e lì conservati solo per breve tempo ai fini dell'analisi degli errori (sezione 4). La nostra applicazione memorizza gli indirizzi IP solo temporaneamente in memoria, per limitare il numero di richieste per mittente (protezione dagli abusi), e in forma abbreviata nel registro di amministrazione.
• Copie di sicurezza: La banca dati viene salvata automaticamente ogni giorno dal provider di hosting; ogni copia di sicurezza viene conservata per sette giorni e poi sovrascritta. I dati cancellati possono quindi rimanere in una copia di sicurezza fino a sette giorni; le copie di sicurezza vengono utilizzate esclusivamente per il ripristino dopo un guasto.
• Misurazione dell’audience (solo con consenso): I dati sugli eventi in Google Analytics vengono cancellati automaticamente dopo 14 mesi. I cookie di analisi (_ga, _ga_*) scadono al più tardi dopo due anni e vengono cancellati quando Lei revoca il consenso. Conserviamo la Sua scelta nel banner dei cookie per sei mesi nel cookie strettamente necessario «stern_consent».
• Documenti soggetti a obblighi di conservazione di legge: Le fatture e i documenti contabili vengono conservati per otto o dieci anni, a seconda del documento, ai sensi del § 147 AO e del § 257 HGB — anche dopo la cancellazione dell'account. Per tale periodo il trattamento è limitato alla conservazione.

10. Diritti dell'interessato

Ai sensi del GDPR Le spettano i seguenti diritti in relazione ai Suoi dati personali:

10.1 Diritto di accesso (art. 15 GDPR)

Ha il diritto di ottenere la conferma che sia o non sia in corso un trattamento di dati personali che La riguardano. In tal caso, ha diritto di accedere a tali dati e di ottenere le informazioni indicate all'art. 15 GDPR.

10.2 Diritto di rettifica (art. 16 GDPR)

Ha il diritto di ottenere la rettifica dei dati personali inesatti e l'integrazione dei dati personali incompleti.

10.3 Diritto alla cancellazione (art. 17 GDPR)

Ha il diritto di ottenere la cancellazione dei Suoi dati personali, se sussiste uno dei motivi indicati all'art. 17 GDPR.

10.4 Diritto di limitazione di trattamento (art. 18 GDPR)

Ha il diritto di chiedere la limitazione del trattamento dei Suoi dati, quando ricorre una delle condizioni previste dall'art. 18 GDPR.

10.5 Diritto alla portabilità dei dati (art. 20 GDPR)

Ha il diritto di ricevere i Suoi dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico e di trasmettere tali dati a un altro titolare del trattamento.

10.6 Diritto di opposizione (art. 21 GDPR)

Ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla Sua situazione particolare, al trattamento dei dati personali che La riguardano.

Ha inoltre il diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati in merito al trattamento dei Suoi dati personali.

11. Contatti per richieste sulla protezione dei dati

Per domande sulla protezione dei dati o per esercitare i Suoi diritti di interessato La invitiamo a rivolgersi a:

Markus Kalweit
sternclassics Media UG (haftungsbeschränkt)
An der Germania Brauerei 7
48159 Münster
E-mail: datenschutz@everstern.eu