Informazioni legali

Informativa privacy

Ultimo aggiornamento: 1 ottobre 2026 · Versione 2026-10-01

Questa informativa spiega come trattiamo i dati personali di chi visita shadeboutique.it, compra online, crea un account, si iscrive al Club SHADE o alla newsletter, come previsto dagli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e dal D.Lgs. 196/2003 («Codice privacy»).

1. Chi tratta i tuoi dati

Il titolare del trattamento è FAST IT, che gestisce il negozio online SHADE Boutique (shadeboutique.it), il Club SHADE e il negozio di Corso Giuseppe Garibaldi 53, 76121 Barletta (BT).

Ragione sociale: FAST IT
Forma giuridica: [da completare]
Sede legale: [da completare]
Partita IVA: [da completare]
PEC: [da completare]
Telefono: 800 829 621

Per qualsiasi domanda sui tuoi dati scrivi a info@shadeboutique.it.

Non abbiamo nominato un Responsabile della protezione dei dati (DPO), perché per la nostra attività non è obbligatorio. Per ogni richiesta usa l’indirizzo qui sopra.

2. Quali dati trattiamo

Trattiamo solo i dati che servono alle finalità descritte in questa informativa:

Dati dell’ordine: nome e cognome, email, telefono, indirizzo di spedizione e di fatturazione, prodotti acquistati, importi, codici sconto, eventuale messaggio regalo e note che ci lasci.
Dati di pagamento: i dati della carta li inserisci nei moduli di Stripe o di PayPal e non arrivano a noi. Riceviamo solo l’esito del pagamento, il metodo usato e il codice della transazione.
Account: nome, cognome, email, password (salvata solo in forma cifrata e non leggibile), indirizzi salvati, storico degli ordini e preferenza sulle comunicazioni promozionali. Al primo ordine creiamo un account collegato alla tua email, per farti seguire ordini e spedizioni. Se accedi con Google, Facebook o Apple riceviamo da loro nome, email e, se c’è, l’immagine del profilo. Per tenerti collegato registriamo indirizzo IP e tipo di browser della sessione.
Club SHADE: numero di socio e codice QR della tessera, nome, cognome, date di accettazione del regolamento e dell’informativa, saldo e movimenti dei coin, livello, missioni, giri della ruota, premi riscattati, inviti agli amici, notifiche e acquisti fatti in negozio con la tessera. Facoltativi: data di nascita, genere, telefono, indirizzo, città, CAP e preferenze olfattive (fino a tre famiglie preferite e l’intensità).
Newsletter e consensi: email e stato dell’iscrizione (in attesa di conferma, confermata, disiscritta). Per ogni consenso o revoca registriamo finalità, scelta, data e ora, punto di raccolta (modulo newsletter, checkout, registrazione, Club, account o link di disiscrizione), versione dell’informativa, tipo di browser e un’impronta cifrata dell’indirizzo IP (hash SHA-256 con sale), al posto dell’indirizzo vero e proprio.
Navigazione: solo se accetti i cookie statistici, un identificativo casuale salvato nel tuo browser, i prodotti che aggiungi al carrello, l’ingresso al checkout e l’acquisto; l’email scritta al checkout solo se sei iscritto alle comunicazioni promozionali con iscrizione confermata. Google Tag Manager, Google Analytics e Meta Pixel si caricano solo dopo il tuo consenso: prima il browser non invia nulla a Google o a Meta. Dettagli nella cookie policy.
Assistenza: i messaggi che ci mandi via email, WhatsApp o telefono e le informazioni che ci dai per risolvere la richiesta.
Dati tecnici: indirizzo IP, data e ora, pagine richieste e tipo di browser, registrati dal server per motivi di sicurezza.

Non ti chiediamo categorie particolari di dati, come quelli sulla salute: non scriverle nelle note dell’ordine o nei messaggi.

3. Perché li trattiamo, su quale base e per quanto tempo

1. Ordini, consegne, resi e assistenza

Dati: Dati dell’ordine, di contatto e dell’assistenza. Per il recesso online anche gli articoli e il motivo del reso, la data e l’ora della dichiarazione, un’impronta non reversibile dell’indirizzo IP e il browser usato, come prova della dichiarazione.
Base giuridica: Esecuzione del contratto e delle misure precontrattuali che ci chiedi (art. 6.1.b GDPR); per il recesso e i resi anche l’obbligo di legge (art. 6.1.c GDPR, artt. 52-59 del Codice del Consumo).
Conservazione: Per la gestione dell’ordine, del recesso e della garanzia; poi fino a 10 anni, il termine ordinario di prescrizione (art. 2946 del Codice civile), per tutelare i diritti di entrambi.

2. Obblighi fiscali e contabili

Dati: Dati di fatture, pagamenti e ordini.
Base giuridica: Obbligo di legge (art. 6.1.c GDPR).
Conservazione: 10 anni dall’ultima registrazione, come prevede l’art. 2220 del Codice civile.

3. Account cliente

Dati: Dati dell’account, indirizzi salvati e storico degli ordini.
Base giuridica: Esecuzione del contratto per il servizio di account (art. 6.1.b GDPR).
Conservazione: Finché tieni l’account. Se ci chiedi di chiuderlo cancelliamo i dati senza ritardo e comunque entro un mese, tranne quelli che dobbiamo conservare per i punti 1 e 2.

4. Club SHADE

Dati: Dati della tessera, coin, livelli, missioni, premi e movimenti.
Base giuridica: Esecuzione del regolamento del Club che accetti all’iscrizione (art. 6.1.b GDPR).
Conservazione: Finché sei iscritto; i coin scadono come previsto dal regolamento. Se lasci il Club cancelliamo il profilo senza ritardo e comunque entro un mese, tranne i movimenti legati agli ordini, conservati per i punti 1 e 2.

5. Dati facoltativi del Club e preferenze olfattive

Dati: Data di nascita, genere, telefono, indirizzo, città, CAP, famiglie olfattive e intensità preferite.
Base giuridica: Il tuo consenso (art. 6.1.a GDPR), che dai compilando volontariamente questi campi e puoi revocare in ogni momento, chiedendoci di correggerli o cancellarli.
Conservazione: Finché non li cancelli o non lasci il Club. Li usiamo solo per personalizzare suggerimenti e vantaggi del Club e facciamo una profilazione semplice, senza effetti giuridici o altri effetti significativi su di te, e non prendiamo decisioni automatizzate.

6. Newsletter e comunicazioni promozionali via email

Dati: Email e, se hai un account, il tuo nome. Per scegliere a chi inviare una campagna usiamo anche dati che trattiamo già per i punti 1, 3 e 4: categorie dei prodotti acquistati, paese dell’ultimo ordine o dell’indirizzo salvato, frequenza, importo e data dell’ultimo acquisto (segmento cliente) e iscrizione al Club.
Base giuridica: Il tuo consenso (art. 6.1.a GDPR e art. 130 del Codice privacy). Con un’unica iscrizione confermata ci autorizzi alla newsletter, alle promozioni, ai promemoria del carrello e alle richieste di recensione: è una sola lista. Nelle email promozionali non usiamo pixel che rilevano l’apertura e nessun link di tracciamento personale: per ogni link contiamo solo il totale dei clic, senza sapere chi ha cliccato. Se ti iscrivi dal modulo newsletter, o al checkout senza un account verificato, o con un account non ancora verificato, devi confermare con un clic nell’email che ti inviamo (doppia conferma). Solo se hai un account con email verificata, la scelta fatta al checkout, nel Club o nel tuo account vale subito. Chi risultava iscritto prima di questa informativa lo riconfermiamo: senza conferma non riceve comunicazioni promozionali.
Conservazione: Fino alla revoca, che fai con un clic dal link in fondo a ogni email promozionale o dal tuo account. Il link di conferma scade dopo 48 ore. Una richiesta non confermata resta registrata come «in attesa» (solo email e stato), senza invii promozionali, e la cancelliamo in automatico 30 giorni dopo la scadenza del link; le iscrizioni ereditate dal vecchio sistema e mai riconfermate le cancelliamo dopo 12 mesi dalla creazione. Di ogni campagna teniamo l’elenco dei destinatari con l’esito dell’invio per 12 mesi dalla fine, poi solo i totali. Per non contare due volte lo stesso clic teniamo per 10 minuti un contatore temporaneo legato all’indirizzo IP (vedi il punto 10). Il registro dei consensi segue il punto 12.

7. Promemoria del carrello e richiesta di recensione

Dati: Email scritta al checkout, prodotti nel carrello, dati dell’ordine consegnato.
Base giuridica: Il tuo consenso alle comunicazioni promozionali (art. 6.1.a GDPR, vedi il punto 6): senza un consenso confermato non inviamo né promemoria né richieste di recensione. Puoi revocarlo in ogni momento dal link in fondo all’email o dal tuo account.
Conservazione: Al massimo due promemoria per carrello e una richiesta di recensione, 4–5 giorni dopo la consegna, finché il consenso è attivo. I carrelli senza attività da 12 mesi, con i loro eventi, li cancelliamo in automatico; i dati dell’ordine seguono i punti 1 e 2.

8. Statistiche interne sui carrelli

Dati: Identificativo casuale del browser (shade_visitor_id), prodotti aggiunti al carrello con quantità e prezzi, ingresso al checkout, acquisto e relativo numero d’ordine. L’email scritta al checkout la associamo al carrello solo se hai un’iscrizione confermata alle comunicazioni promozionali (punto 6), per i promemoria del punto 7: lo verifichiamo sul nostro server a ogni evento; altrimenti non la salviamo.
Base giuridica: Il tuo consenso ai cookie statistici (art. 6.1.a GDPR e art. 122 del Codice privacy), che dai e modifichi dal banner dei cookie. Senza consenso il browser non ci invia nulla e l’identificativo non viene creato. I dati sono pseudonimi: li usiamo per capire come vengono usati carrello e checkout, non per identificarti.
Conservazione: Fino a 12 mesi dall’ultima attività del carrello: poi li cancelliamo in automatico, con i relativi eventi. Se revochi il consenso l’identificativo viene cancellato dal tuo browser.

9. Statistiche e marketing con cookie e strumenti simili

Dati: Identificativi del browser, pagine viste, interazioni ed eventi d’acquisto. Per l’invio degli acquisti dal nostro server: a Google Analytics l’identificativo del cookie _ga e i dati dell’ordine; a Meta gli identificativi _fbp e _fbc, indirizzo IP e tipo di browser del checkout, paese, valore e contenuto dell’ordine, email e telefono cifrati con SHA-256.
Base giuridica: Il tuo consenso (art. 6.1.a GDPR e art. 122 del Codice privacy), che dai e modifichi dal banner dei cookie: Google Analytics solo con il consenso alle statistiche, Meta solo con il consenso al marketing. Senza consenso gli strumenti non si caricano e il nostro server non invia nulla. Se dai anche il consenso al marketing, l’acquisto inviato a Google Analytics è segnato come utilizzabile per la pubblicità: Google può usare quei dati anche per le sue finalità pubblicitarie, come titolare autonomo, secondo la propria informativa.
Conservazione: Per la durata indicata nella cookie policy per ciascuno strumento. Identificativi, indirizzo IP e tipo di browser salvati con l’ordine per l’invio dal server vengono cancellati subito dopo l’invio, o dopo 48 ore se l’ordine non viene pagato; resta solo la registrazione delle tue scelte di consenso.

10. Sicurezza e prevenzione di frodi e abusi

Dati: Dati tecnici, indirizzo IP, dati dell’ordine e del pagamento.
Base giuridica: Il nostro legittimo interesse a proteggere il sito, i clienti e i pagamenti (art. 6.1.f GDPR).
Conservazione: I registri tecnici del server sono conservati al massimo 30 giorni, salvo che servano ad accertare un abuso. Per limitare le richieste ripetute teniamo contatori temporanei: l’indirizzo IP per al massimo 1 ora; per le iscrizioni alla newsletter anche un’impronta cifrata (hash) dell’email, fino a 24 ore (limite giornaliero). Stanno in Upstash o, se non è configurato, nella memoria del server.

11. Tutela dei diritti

Dati: I dati che servono nel caso specifico.
Base giuridica: Il nostro legittimo interesse a difenderci o a far valere un diritto (art. 6.1.f GDPR).
Conservazione: Per la durata della controversia e fino alla scadenza dei termini per impugnare.

12. Registro dei consensi

Dati: Finalità, scelta, data e ora, punto di raccolta, versione dell’informativa, tipo di browser e impronta cifrata dell’indirizzo IP (hash SHA-256 con sale).
Base giuridica: Obbligo di legge: dobbiamo poter dimostrare il tuo consenso (art. 6.1.c e art. 7.1 GDPR).
Conservazione: Per la durata del consenso e, dopo la revoca, per il periodo di prescrizione (10 anni, art. 2946 del Codice civile) in cui potremmo doverlo dimostrare. Il registro è di sola aggiunta.

13. Recensioni dei prodotti

Dati: Voto, titolo e testo della recensione, nome e iniziale del cognome che pubblichiamo, email e ordine da cui nasce la recensione (per verificare l’acquisto), data, un’impronta non reversibile dell’indirizzo IP e il browser usato, come prova dell’invio.
Base giuridica: Il tuo consenso (art. 6.1.a GDPR), che dai inviando la recensione. Pubblichiamo solo nome e iniziale del cognome, il voto, il titolo, il testo e la nostra eventuale risposta, con il badge «Acquisto verificato».
Conservazione: Finché la recensione resta pubblicata o finché non ci chiedi di toglierla dalla pagina Contatti: la eliminiamo senza ritardo e comunque entro un mese, anche quando chiudi l’account. Le recensioni rifiutate in moderazione restano solo nel nostro archivio interno, con lo stesso termine.

4. Registrazione in negozio e adesione al Club dall’iPad

Nel negozio di Corso Giuseppe Garibaldi 53, 76121 Barletta (BT) puoi chiedere al commesso di registrarti come cliente e di iscriverti al Club. Il commesso inserisce i tuoi dati dalla cassa; l’adesione al Club la confermi tu, sull’iPad accanto alla cassa. Se l’iPad non è disponibile ti mandiamo un’email per completare l’iscrizione online.

Registrazione dalla cassa

Dati: Nome, cognome, email e telefono che detti al commesso; facoltativi la data di nascita e la richiesta di iscrizione alla newsletter. Con questi dati creiamo il tuo account cliente (se non l’hai già) e ti mandiamo, quando serve, l’email per impostare la password o completare l’iscrizione al Club.
Base giuridica: Esecuzione delle misure precontrattuali e del contratto che ci chiedi: account e iscrizione al Club (art. 6.1.b GDPR). La newsletter parte solo dopo che la confermi con un clic nell’email che ti mandiamo (punto 6).
Conservazione: L’account segue il punto 3. Se non completi l’iscrizione al Club, l’account resta finché non ci chiedi di chiuderlo.

Iscrizione al Club in attesa

Dati: La data e l’ora della registrazione in negozio e, se l’hai data, la data di nascita, per accreditarti i coin degli acquisti fatti in negozio prima di completare l’iscrizione e per riportare la data di nascita nel profilo del Club.
Base giuridica: Esecuzione delle misure precontrattuali che ci chiedi (art. 6.1.b GDPR).
Conservazione: Al massimo 30 giorni dalla registrazione in negozio: la cancelliamo appena completi l’iscrizione o, se non la completi, in automatico entro pochi giorni dalla scadenza.

Adesione sull’iPad e firma

Dati: Sull’iPad vedi solo il tuo nome con l’iniziale del cognome. Leggi l’informativa e il regolamento, spunti le caselle e firmi con il dito. Registriamo le accettazioni come nel registro dei consensi (punto 12) e conserviamo l’immagine della firma con la data e l’ora, l’iPad usato e un’impronta cifrata dell’immagine (hash SHA-256) che ne prova l’integrità. La firma è solo un’immagine: non ne ricaviamo dati biometrici (come pressione o velocità del tratto) e non la usiamo per riconoscerti in automatico. Dopo l’adesione l’iPad mostra il QR della tua tessera per al massimo un minuto.
Base giuridica: Dobbiamo poter dimostrare che hai letto l’informativa e accettato il regolamento (art. 6.1.c e art. 7.1 GDPR) e abbiamo un legittimo interesse a tutelarci in caso di contestazione (art. 6.1.f GDPR). Se scegli «Non ora» non registriamo nessuna accettazione e nessuna firma.
Conservazione: L’immagine della firma per 10 anni dall’adesione, il termine ordinario di prescrizione (art. 2946 del Codice civile), poi la cancelliamo in automatico entro pochi giorni. Le accettazioni seguono il punto 12.

Puoi chiederci in ogni momento di cancellare questi dati scrivendo a info@shadeboutique.it: cancelliamo l’account, l’iscrizione in attesa e l’immagine della firma, tranne i dati che dobbiamo conservare per i punti 1, 2 e 12. Con una richiesta di accesso (art. 15 GDPR) ricevi anche una copia della firma.

5. Dati obbligatori e facoltativi

Nei moduli i dati necessari sono indicati come obbligatori: senza questi non possiamo concludere o consegnare l’ordine. Il telefono è obbligatorio solo quando lo richiede il corriere per la destinazione scelta. Tutti i consensi promozionali e statistici sono facoltativi: se non li dai puoi comunque comprare e usare il sito.

6. A chi comunichiamo i dati

I dati li tratta il nostro personale autorizzato. I fornitori che li trattano per nostro conto sono nominati responsabili del trattamento con un contratto (art. 28 GDPR):

Hetzner Online GmbH (Germania): server che ospitano il sito e il database;
Amazon Web Services EMEA SARL (Lussemburgo): invio delle email (Amazon SES), archivio delle immagini e copie di sicurezza (Amazon S3);
Upstash, Inc. (Stati Uniti): memoria temporanea che blocca le richieste ripetute (indirizzo IP per al massimo 1 ora, impronta cifrata dell’email fino a 24 ore);
Usercentrics A/S (Danimarca): piattaforma Cookiebot che raccoglie e conserva le tue scelte sui cookie;
Google Ireland Limited (Irlanda): Google Tag Manager, caricato solo dopo il consenso alle statistiche o al marketing, e Google Analytics 4, solo con il consenso alle statistiche. Con il consenso al marketing, Google può usare gli acquisti anche per le proprie finalità pubblicitarie, come titolare autonomo;

Trattano i dati come titolari autonomi, con le loro informative:

Stripe Payments Europe Limited (Irlanda), per i pagamenti con carta, Apple Pay e Google Pay;
PayPal (Europe) S.à r.l. et Cie, S.C.A. (Lussemburgo), per i pagamenti con PayPal;
WhatsApp Ireland Limited (Irlanda), se ci scrivi su WhatsApp per l’assistenza;
Google, Meta e Apple, se scegli di accedere con il loro account;
i corrieri, ad esempio GLS, che ricevono nome, indirizzo, telefono ed email per consegnare il pacco, e per le spedizioni fuori dall’Unione europea le autorità doganali;
consulenti fiscali e legali, banche e autorità pubbliche, quando lo prevede la legge.

Per Meta Pixel e per l’invio degli acquisti dal nostro server a Meta (Conversions API), attivi solo con il tuo consenso al marketing, siamo contitolari con Meta Platforms Ireland Limited per la raccolta e la trasmissione dei dati (art. 26 GDPR), secondo il Meta Controller Addendum. Siamo noi il punto di contatto per i tuoi diritti su quella parte; Meta ti informa nella sua informativa privacy. Quello che Meta fa dopo con i dati lo decide Meta come titolare autonomo.

Quando scrivi un indirizzo al checkout, il nostro server invia il testo digitato al servizio Nominatim della OpenStreetMap Foundation per suggerirti l’indirizzo completo, senza il tuo nome, la tua email o il tuo indirizzo IP.

Non vendiamo i tuoi dati e non li cediamo a terzi per le loro finalità promozionali.

7. Trasferimenti fuori dall’Unione europea

Alcuni fornitori, come Google, Meta, Stripe, PayPal, Amazon Web Services, Upstash e Apple, possono trattare i dati anche fuori dallo Spazio economico europeo, in particolare negli Stati Uniti. In questi casi il trasferimento avviene:

verso società aderenti all’EU-U.S. Data Privacy Framework, sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023;
altrimenti, con le clausole contrattuali standard approvate dalla Commissione europea (decisione 2021/914) e le misure aggiuntive necessarie.

Puoi chiederci una copia delle garanzie adottate scrivendo a info@shadeboutique.it.

8. I tuoi diritti

In ogni momento, gratuitamente, puoi chiederci di:

accedere ai tuoi dati e riceverne una copia (art. 15 GDPR);
correggerli o completarli (art. 16);
cancellarli, quando non dobbiamo più conservarli (art. 17);
limitarne il trattamento (art. 18);
riceverli in un formato leggibile da un computer o farli trasmettere a un altro titolare (art. 20);
opporti ai trattamenti basati sul legittimo interesse e, sempre e senza motivo, a quelli promozionali (art. 21);
revocare i consensi dati, senza effetti sui trattamenti già svolti (art. 7.3);
non essere sottoposto a decisioni basate solo su trattamenti automatizzati (art. 22): non ne prendiamo.

Scrivi a info@shadeboutique.it oppure alla PEC [da completare]. Ti rispondiamo entro un mese; per richieste complesse il termine può arrivare a tre mesi e in quel caso te lo diciamo. Per proteggere i tuoi dati potremmo chiederti di confermare la tua identità.

Per non ricevere più email promozionali basta il link in fondo a ogni email. Per i cookie usa le .

Se ritieni che il trattamento violi la normativa puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it) o all’autorità di controllo del Paese in cui vivi o lavori.

9. Come proteggiamo i dati

Usiamo connessioni cifrate (HTTPS), salviamo le password solo in forma cifrata, limitiamo l’accesso ai dati al personale che ne ha bisogno e facciamo copie di sicurezza periodiche. Se una violazione dei dati mette a rischio i tuoi diritti, notifichiamo la violazione al Garante e, se il rischio per te è elevato, ti avvisiamo (artt. 33 e 34 GDPR).

10. Minori

Per acquistare e iscriversi al Club bisogna avere almeno 18 anni. Non raccogliamo consapevolmente dati di minori di 14 anni (art. 2-quinquies del Codice privacy): se ci accorgiamo di averne ricevuti, li cancelliamo.

11. Modifiche a questa informativa

Possiamo aggiornare questa informativa quando cambiano i servizi o le norme. La versione in vigore è sempre su questa pagina, con la data in alto. Se le modifiche riguardano i consensi che ci hai dato te le comunichiamo prima e, quando serve, ti chiediamo un nuovo consenso. Con ogni consenso registriamo la versione dell’informativa che hai letto (versione attuale: 2026-10-01).