Informativa sulla privacy - Protezione dei tuoi dati

Introduzione

La presente Informativa descrive come WEBET Sp. z o.o. tratta i dati personali in relazione all'uso della piattaforma FarmaciaPiùEconomica (taniejpolek.pl). Redatto in conformità al Regolamento (UE) 2016/679 (GDPR) e alla normativa polacca sulla protezione dei dati personali (in Italia: D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018).

1. Titolare del trattamento

1.1 Dati del Titolare

Il Titolare dei Suoi dati personali è:
WEBET SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ
ul. 1 Maja 30A
45-355 Opole, Polonia
NIP: 7543346806
REGON: 520717497
KRS: 0000940072
Email: biuro@webet.pl
Telefono: +48 798 908 242

1.2 Contatto per la protezione dei dati

Per ogni questione di protezione dati può contattarci:
Email: biuro@webet.pl
Telefono: +48 798 908 242 (lun-ven, 9:00-17:00)
Per posta: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polonia, con dicitura "Protezione dei dati personali"

2. Ambito dei dati personali trattati

2.1 Dati forniti dall'utente

Dati account (obbligatori):

Indirizzo email
Password (hash bcrypt con sale - non leggibile)
Nome e cognome (facoltativi)

Dati abbonamento e pagamenti:

Tipo di abbonamento
Stato e data di acquisto
Informazioni di pagamento (Stripe)
Storico transazioni

Dati di utilizzo:

Lista della spesa e farmaci cercati
Cronologia ricerche e confronti
Preferenze utente

2.2 Dati raccolti automaticamente

Indirizzo IP e posizione approssimativa
Tipo e versione browser
Sistema operativo e dispositivo
Pagine visitate e tempo
Referrer
Dati tecnici della sessione
Cookie e tecnologie simili

2.3 Dati di pagamento

Importante: i dati della Sua carta sono trattati esclusivamente da Stripe, Inc. (PCI DSS Level 1). NON conserviamo i dati completi della carta.

Conserviamo solo:

Stripe Customer ID
Stripe Subscription ID
Stripe Payment Intent ID
Importo e valuta (PLN)
Stato del pagamento
Ultime 4 cifre della carta

3. Finalità e basi giuridiche del trattamento

I dati sono trattati ai sensi dell'art. 6 GDPR:

3.1 Esecuzione del contratto (art. 6, par. 1, lett. b) GDPR)

Creazione e gestione dell'account
Servizi di confronto prezzi
Esecuzione dell'abbonamento
Gestione dei pagamenti
Notifiche di servizio

3.2 Adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR)

Emissione fatture
Obblighi fiscali
Obblighi consumeristici
Risposta ad autorità statali

3.3 Legittimo interesse (art. 6, par. 1, lett. f) GDPR)

Sicurezza e individuazione abusi
Analisi e miglioramento della piattaforma
Reclami e controversie
Esercizio di pretese o difesa
Archiviazione per compliance

3.4 Consenso (art. 6, par. 1, lett. a) GDPR)

Newsletter con offerte e promozioni
Personalizzazione della comunicazione marketing
Cookie analitici e di marketing

Newsletter - base giuridica combinata:

L'invio della newsletter si basa su tre basi giuridiche congiunte: (a) art. 6, par. 1, lett. a) GDPR - consenso volontario; (b) art. 10, par. 1 della legge polacca sui servizi elettronici - consenso a comunicazioni commerciali; (c) art. 172, par. 1 della legge polacca sulle telecomunicazioni - consenso al marketing diretto. I consensi sono raccolti congiuntamente. Può revocarli tramite link "Annulla iscrizione" in ogni email o contattando biuro@webet.pl.

Il consenso è revocabile in qualsiasi momento senza pregiudizio della liceità del trattamento svolto in precedenza.

4. Periodo di conservazione dei dati

I dati sono conservati per i tempi necessari, tenuto conto degli obblighi di legge:

Categoria di dati	Periodo di conservazione
Dati dell'account (email, password)	Per la durata dell'account + 30 giorni dopo la cancellazione
Dati di pagamento e fatture	6 anni dalla fine dell'anno della transazione
Lista della spesa e cronologia	Per la durata dell'account o fino alla cancellazione
Dati tecnici (IP, log)	12 mesi
Consenso marketing	Fino alla revoca
Corrispondenza e reclami	3 anni dalla conclusione

5. Categorie particolari di dati - dati relativi alla salute (art. 9 GDPR)

La lista della spesa di farmaci OTC può costituire dati sulla salute ai sensi dell'art. 9 GDPR.

5.1 Base giuridica del trattamento

Consenso esplicito dell'Utente (art. 9, par. 2, lett. a) GDPR), espresso al primo inserimento di un articolo o alla registrazione. Senza tale consenso non è possibile usare il confronto del carrello.

5.2 Ambito

Nomi dei farmaci OTC e relative quantità con l'identificativo dell'account.

5.3 Finalità

Esclusivamente confronto dei prezzi nelle farmacie online presentate nel Servizio. Il dato è usato per generare un carrello ottimizzato e - su richiesta - per salvare la lista nel pannello account.

5.4 Revoca del consenso

Può revocare il consenso eliminando la lista o contattando biuro@webet.pl. La revoca non pregiudica la liceità del trattamento precedente.

5.5 Nessuna profilazione sanitaria

L'Amministratore NON utilizza questi dati per profilazione sanitaria, marketing personalizzato o cessione a terzi per finalità diverse.

5.6 Nessun trasferimento a marketing

I dati NON sono trasferiti a Google Ads, Meta o servizi analitici se non in forma aggregata anonimizzata.

6. Condivisione dei dati personali

I dati possono essere condivisi con responsabili del trattamento ex art. 28 GDPR:

6.1 Stripe Payments Europe Ltd. e Stripe, Inc. (pagamenti)

Ruolo: Responsabile del trattamento
Finalità: gestione di pagamenti, abbonamenti, rimborsi, prevenzione frodi.
Ambito dei dati: Stripe Customer ID, Subscription ID, ID transazione, importo, valuta, stato, ultime 4 cifre carta, email Utente, IP.
Localizzazione: Stripe Payments Europe Ltd. - Irlanda (SEE); Stripe, Inc. - USA.
Base giuridica: art. 6, par. 1, lett. b) e f) GDPR.
Trasferimento fuori SEE: EU-US Data Privacy Framework (Stripe Inc. certificato). SCC e PCI DSS Level 1.
Informativa: stripe.com/privacy

6.2 Hetzner Online GmbH (hosting infrastruttura)

Ruolo: Responsabile del trattamento
Finalità: hosting di app web, API, database PostgreSQL, Elasticsearch e Redis.
Ambito dei dati: pieno ambito dei dati dell'Utente.
Localizzazione: Germania (SEE) - dati non escono dal SEE.
Base giuridica: art. 6, par. 1, lett. b) GDPR.
Trasferimento: non applicabile - trattamento interamente nel SEE. Hetzner ha ISO 27001 e ISO 9001.

6.3 Twilio SendGrid, Inc. (email transazionali e newsletter)

Ruolo: Responsabile del trattamento
Finalità: invio di email transazionali e newsletter di marketing.
Ambito dei dati: email, nome (se fornito), contenuto, link di conferma, stato consegna.
Localizzazione: USA.
Base giuridica: art. 6, par. 1, lett. b) e a) GDPR.
Trasferimento fuori SEE: EU-US Data Privacy Framework. SCC.

6.4 Amazon Web Services EMEA SARL (hosting S3)

Ruolo: Responsabile del trattamento
Finalità: conservazione di allegati, risorse statiche e backup.
Ambito dei dati: file allegati o generati dal Servizio.
Localizzazione: Lussemburgo (centrale). Bucket regione UE.
Base giuridica: art. 6, par. 1, lett. b) e c) GDPR.
Trasferimento fuori SEE: EU-US Data Privacy Framework e SCC. AWS ha ISO 27001/27017/27018, SOC 1/2/3.

6.5 Rollbar, Inc. (monitoraggio errori)

Ruolo: Responsabile del trattamento
Finalità: rilevazione e diagnosi di errori applicativi.
Ambito dei dati: stack trace, ID sessione, user agent, IP, contesto tecnico. PII filtrati prima dell'invio.
Localizzazione: USA.
Base giuridica: art. 6, par. 1, lett. f) GDPR - legittimo interesse.
Trasferimento fuori SEE: SCC. Rollbar non è certificato EU-US Data Privacy Framework - solo SCC e PII scrubbing.

6.6 Google Ireland Ltd. e Google LLC (GTM, GA4, Google Ads)

Ruolo: Responsabile del trattamento per GA4 e Google Ads.
Finalità: misurazione traffico, analisi comportamenti, conversioni, retargeting. GTM container: GTM-5ZLFN8Z7.
Ambito dei dati: dati comportamentali, eventi di conversione, Google Client ID, IP troncato. Per Enhanced Conversions: email hash SHA-256.
Localizzazione: Google Ireland Ltd. - Irlanda (SEE); Google LLC - USA.
Base giuridica: art. 6, par. 1, lett. a) GDPR (consenso cookie banner).
Trasferimento fuori SEE: EU-US Data Privacy Framework. SCC.
Informativa: policies.google.com/privacy

6.7 Meta Platforms Ireland Ltd. e Meta Platforms, Inc. (Facebook Pixel)

Ruolo: Contitolare del trattamento (per eventi di conversione).
Finalità: misurazione conversioni, retargeting, Lookalike Audiences. Pixel ID: 699317922143678.
Ambito dei dati: eventi di conversione, ID utente Meta (se presente), URL, IP. Senza identificativi diretti dal Servizio.
Localizzazione: Meta Platforms Ireland Ltd. - Irlanda (SEE); Meta Platforms, Inc. - USA.
Base giuridica: art. 6, par. 1, lett. a) GDPR (consenso cookie banner).
Trasferimento fuori SEE: EU-US Data Privacy Framework. SCC.
Informativa: facebook.com/privacy/policy

Abbiamo stipulato DPA ex art. 28 GDPR con tutti i responsabili. L'Amministratore non ha designato un DPO (non sussistono i requisiti dell'art. 37, par. 1 GDPR). Contatto diretto: biuro@webet.pl.

7. Trasferimento dei dati al di fuori del SEE

Alcuni dati sono trattati fuori SEE: Stripe Inc., Twilio SendGrid, AWS (globale, con dati in regioni UE), Rollbar, Google LLC, Meta Platforms Inc. (tutti USA). Hetzner: solo Germania (SEE). Trasferimento basato su:

(a) Decisione (UE) 2023/1795 sull'EU-US Data Privacy Framework per soggetti certificati (Stripe, SendGrid, AWS, Google, Meta)
(b) Clausole contrattuali standard (Decisione (UE) 2021/914) per gli altri casi, incluso Rollbar
(c) Misure organizzative/tecniche conformi a PCI DSS, ISO 27001, SOC 2
(d) Salvaguardie tecniche aggiuntive: SSL/TLS, pseudonimizzazione, PII scrubbing

Copia delle SCC e informazioni sulle salvaguardie disponibili contattando biuro@webet.pl.

8. I Suoi diritti (GDPR)

Ai sensi del GDPR Le spettano:

8.1 Diritto di accesso (art. 15 GDPR)

Conferma e accesso ai dati trattati.

8.2 Diritto di rettifica (art. 16 GDPR)

Rettifica di dati inesatti o incompleti.

8.3 Diritto alla cancellazione (art. 17 GDPR)

Cancellazione se non più necessari o revoca del consenso.

8.4 Diritto di limitazione (art. 18 GDPR)

Limitazione in determinate situazioni.

8.5 Diritto alla portabilità (art. 20 GDPR)

Dati in CSV/JSON e trasmissione ad altro titolare.

8.6 Diritto di opposizione (art. 21 GDPR)

Opposizione al trattamento per marketing.

8.7 Revoca del consenso (art. 7, par. 3 GDPR)

Revoca in qualsiasi momento se il trattamento si basa sul consenso.

8.8 Reclamo (art. 77 GDPR)

Reclamo all'Autorità di controllo (in Italia: Garante; in Polonia: UODO):

Garante per la protezione dei dati personali / UODO
Piazza Venezia 11, 00187 Roma, Italia / ul. Stawki 2, 00-193 Warszawa, Polonia
Email: protocollo@gpdp.it (IT) / kancelaria@uodo.gov.pl (PL)
Telefono: +39 06 69677 1 (IT) / +48 22 531 03 00 (PL)
Sito: gpdp.it / uodo.gov.pl

Come esercitare i propri diritti?

Per esercitare i diritti contattare:

Email: biuro@webet.pl
Telefono: +48 798 908 242
Posta: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polonia

Risposta senza ritardo ingiustificato - al massimo entro un mese.

9. Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate:

9.1 Misure tecniche

SSL/TLS per tutte le trasmissioni
Hashing password bcrypt con sale (irreversibile)
Cifratura dati sensibili nel database
Backup cifrati regolari
Firewall e protezione DDoS
Monitoraggio sicurezza 24/7

9.2 Misure organizzative

Accesso limitato
Politiche di sicurezza
Formazione del personale
Accordi di riservatezza
Audit di sicurezza

10. Informativa sui cookie

10.1 Cosa sono i cookie?

Piccoli file di testo salvati dal browser sul dispositivo durante la navigazione.

10.2 Quali cookie utilizziamo?

Cookie necessari

Finalità: funzionamento del sito
Base giuridica: legittimo interesse (art. 6, par. 1, lett. f) GDPR)
Durata: sessione o fino a 1 anno

Esempi: session ID, CSRF token, cookie_consent

Cookie funzionali

Finalità: memorizzazione preferenze
Base giuridica: legittimo interesse
Durata: fino a 12 mesi

Esempi: user_preferences, theme_mode

Cookie Stripe (pagamenti)

Finalità: gestione pagamenti, antifrode
Fornitore: Stripe, Inc. (USA)
Base giuridica: esecuzione del contratto
Durata: da sessione fino a 2 anni

Esempi: __stripe_mid, __stripe_sid
Maggiori info: stripe.com/cookies-policy/legal

Cookie analitici

Finalità: analisi comportamenti, ottimizzazione
Base giuridica: consenso (art. 6, par. 1, lett. a) GDPR)
Durata: fino a 24 mesi

privacy.sections.cookies.types.analytics.examples

Nota: utilizzati solo con consenso esplicito.

10.3 Gestione dei cookie

Alla prima visita verrà mostrato un banner. Può:

Accettare tutti
Personalizzare le preferenze
Rifiutare i cookie facoltativi

Gestione anche dalle impostazioni del browser.

Nota: la disattivazione dei cookie può influire sulla funzionalità. I cookie necessari non sono disattivabili.

11. Privacy dei minori

Il Servizio è destinato a maggiorenni. L'Amministratore non raccoglie consapevolmente dati di minori di 16 anni. Qualora si verifichi tale raccolta senza consenso del titolare della responsabilità genitoriale (art. 8 par. 1 GDPR), i dati saranno cancellati senza ritardo. Contatto: biuro@webet.pl.

12. Modifiche all'informativa

Comunicheremo eventuali modifiche sostanziali tramite:

Notifica email
Avviso sulla home page
Pop-up al primo accesso

In caso di modifiche sostanziali chiederemo l'accettazione attiva. La mancata accettazione entro 14 giorni può limitare l'accesso alle funzioni che richiedono il nuovo consenso.

13. Contatto

Per domande o esercizio dei diritti contattare:

Email: biuro@webet.pl

Telefono: +48 798 908 242 (lun-ven, 9:00-17:00)

Indirizzo: WEBET Sp. z o.o., ul. 1 Maja 30A, 45-355 Opole, Polonia

Risposta a domande generali entro 3 giorni lavorativi, a GDPR entro un mese.

Conformità al GDPR: FarmaciaPiùEconomica è pienamente conforme al GDPR (Reg. UE 2016/679) e alla legge polacca sulla protezione dei dati personali del 10 maggio 2018 (in Italia: D.Lgs. 196/2003 come modificato).

Basi giuridiche del documento:

Regolamento (UE) 2016/679 (GDPR)
Legge polacca del 10 maggio 2018 sulla protezione dei dati personali (in Italia: D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018)
Legge polacca del 18 luglio 2002 sui servizi elettronici
Legge polacca del 16 luglio 2004 - Telecomunicazioni
Legge polacca del 30 maggio 2014 sui diritti dei consumatori
Decisione (UE) 2023/1795 (EU-US Data Privacy Framework)
Decisione (UE) 2021/914 (clausole contrattuali standard)

Cronologia delle modifiche

3 luglio 2026 - [PROJEKT — do weryfikacji prawnej] aggiunto il punto 5.7 (trattamento dei dati del carrello tramite intelligenza artificiale — riconoscimento del carrello da foto/testo e ottimizzazione del carrello con AI) e aggiunta di Anthropic PBC all'elenco dei responsabili del trattamento (punto 6.8).
13 maggio 2026 - aggiornamento secondo audit di compliance: aggiornamento lista processor (Stripe, Hetzner, SendGrid, AWS, Rollbar, Google, Meta in luogo dei precedenti Vercel/Scalingo), aggiunta sezione categorie particolari (art. 9 GDPR), aggiornamento clausole su modifiche dei Termini (accettazione attiva) e rinnovo automatico, correzione terminologia bcrypt (hashing).
17 novembre 2025 - versione iniziale.

Introduzione

Categoria di dati

Periodo di conservazione

Dati dell'account (email, password)

Per la durata dell'account + 30 giorni dopo la cancellazione

Dati di pagamento e fatture

6 anni dalla fine dell'anno della transazione

Lista della spesa e cronologia

Per la durata dell'account o fino alla cancellazione

Dati tecnici (IP, log)

12 mesi

Consenso marketing

Fino alla revoca

Corrispondenza e reclami

3 anni dalla conclusione

Informativa sulla privacy e sui cookie

Introduzione

1. Titolare del trattamento

1.1 Dati del Titolare

1.2 Contatto per la protezione dei dati

2. Ambito dei dati personali trattati

2.1 Dati forniti dall'utente

Dati account (obbligatori):

Dati abbonamento e pagamenti:

Dati di utilizzo:

2.2 Dati raccolti automaticamente

2.3 Dati di pagamento

3. Finalità e basi giuridiche del trattamento

3.1 Esecuzione del contratto (art. 6, par. 1, lett. b) GDPR)

3.2 Adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR)

3.3 Legittimo interesse (art. 6, par. 1, lett. f) GDPR)

3.4 Consenso (art. 6, par. 1, lett. a) GDPR)

4. Periodo di conservazione dei dati

5. Categorie particolari di dati - dati relativi alla salute (art. 9 GDPR)

5.1 Base giuridica del trattamento

5.2 Ambito

5.3 Finalità

5.4 Revoca del consenso

5.5 Nessuna profilazione sanitaria

5.6 Nessun trasferimento a marketing

6. Condivisione dei dati personali

6.1 Stripe Payments Europe Ltd. e Stripe, Inc. (pagamenti)

6.2 Hetzner Online GmbH (hosting infrastruttura)

6.3 Twilio SendGrid, Inc. (email transazionali e newsletter)

6.4 Amazon Web Services EMEA SARL (hosting S3)

6.5 Rollbar, Inc. (monitoraggio errori)

6.6 Google Ireland Ltd. e Google LLC (GTM, GA4, Google Ads)

6.7 Meta Platforms Ireland Ltd. e Meta Platforms, Inc. (Facebook Pixel)

7. Trasferimento dei dati al di fuori del SEE

8. I Suoi diritti (GDPR)

8.1 Diritto di accesso (art. 15 GDPR)

8.2 Diritto di rettifica (art. 16 GDPR)

8.3 Diritto alla cancellazione (art. 17 GDPR)

8.4 Diritto di limitazione (art. 18 GDPR)

8.5 Diritto alla portabilità (art. 20 GDPR)

8.6 Diritto di opposizione (art. 21 GDPR)

8.7 Revoca del consenso (art. 7, par. 3 GDPR)

8.8 Reclamo (art. 77 GDPR)

Come esercitare i propri diritti?

9. Sicurezza dei dati

9.1 Misure tecniche

9.2 Misure organizzative

10. Informativa sui cookie

10.1 Cosa sono i cookie?

10.2 Quali cookie utilizziamo?

Cookie necessari

Cookie funzionali

Cookie Stripe (pagamenti)

Cookie analitici

10.3 Gestione dei cookie

11. Privacy dei minori

12. Modifiche all'informativa

13. Contatto

Basi giuridiche del documento:

Cronologia delle modifiche

Informativa sulla privacy e sui cookie

Introduzione

1. Titolare del trattamento

1.1 Dati del Titolare

1.2 Contatto per la protezione dei dati

2. Ambito dei dati personali trattati

2.1 Dati forniti dall'utente

Dati account (obbligatori):

Dati abbonamento e pagamenti:

Dati di utilizzo:

2.2 Dati raccolti automaticamente

2.3 Dati di pagamento

3. Finalità e basi giuridiche del trattamento

3.1 Esecuzione del contratto (art. 6, par. 1, lett. b) GDPR)

3.2 Adempimento di obblighi di legge (art. 6, par. 1, lett. c) GDPR)

3.3 Legittimo interesse (art. 6, par. 1, lett. f) GDPR)

3.4 Consenso (art. 6, par. 1, lett. a) GDPR)

4. Periodo di conservazione dei dati

5. Categorie particolari di dati - dati relativi alla salute (art. 9 GDPR)

5.1 Base giuridica del trattamento