Informativa Privacy

1. Titolare del trattamento

Il titolare del trattamento è:

Email per richieste relative alla privacy e al servizio:

ciao@tihopensato.it

2. Quali dati trattiamo

Dati dell’acquirente

Durante l’acquisto possiamo trattare:

• indirizzo email dell’acquirente;
• informazioni relative all’ordine;
• numero di cartoline acquistate;
• importo e valuta del pagamento;
• stato del pagamento;
• data dell’ordine;
• identificativo tecnico del link privato per gestire l’ordine;
• informazioni necessarie per assistenza, gestione di reclami e adempimenti amministrativi o fiscali.

I dati completi della carta di pagamento non vengono trattati direttamente da Ti ho pensato.

Dati dei destinatari

Per realizzare e consegnare le cartoline possiamo trattare:

• messaggio personalizzato;
• eventuale disegnetto fatto a mano sul retro;
• zona di consegna scelta dall’acquirente;
• eventuale indirizzo email del destinatario;
• nome e indirizzo postale del destinatario, quando vengono forniti;
• Paese di destinazione;
• stato della produzione e della spedizione della cartolina;
• identificativo tecnico del link privato della versione digitale.

L’indirizzo email e l’indirizzo postale del destinatario sono facoltativi al momento dell’acquisto e possono essere forniti successivamente nei casi previsti dal servizio.

Dati relativi all’utilizzo della versione digitale

Per comprendere se il servizio è stato correttamente utilizzato e migliorarlo, Ti ho pensato può registrare informazioni minime quali:

• data del primo accesso alla versione digitale;
• data dell’eventuale utilizzo del pulsante «Manda una cartolina a qualcuno»;
• fonte di acquisizione dell’ordine, quando prevista.

Queste informazioni non vengono utilizzate per creare profili individuali del destinatario.

Ti ho pensato non utilizza tali dati per pubblicità comportamentale o per assumere decisioni automatizzate nei confronti degli utenti.

Codice QR sulla cartolina

Ogni cartolina stampata riporta un codice QR, con l’invito «Inquadra il codice e rivedi la tua cartolina». Il codice contiene un identificativo tecnico casuale, distinto dal link privato del destinatario, e apre una pagina che mostra quella cartolina (fronte e messaggio, mai l’indirizzo).

Delle visite dal codice QR registriamo, per ogni cartolina, soltanto la data della prima visita e la data del primo tocco sul pulsante «Manda una cartolina a qualcuno». Non conserviamo indirizzi IP, dati del dispositivo né cookie per questa finalità.

Dalla pagina del codice chi ha ricevuto la cartolina può dire grazie a chi l’ha mandata, con un tocco e, se vuole, due parole (al massimo 140 caratteri). Le mostriamo soltanto all’acquirente di quella cartolina, nella pagina del suo ordine e in un’email; non chiediamo il nome né altri dati. L’acquirente può nasconderle; le cancelliamo comunque 90 giorni dopo l’invio, e la data dopo 12 mesi.

Per ogni cartolina si può mandare un solo grazie. Se il testo contiene un link o parole offensive non viene inoltrato: arriva soltanto il grazie. Nessuno di Ti ho pensato le legge prima dell’acquirente. Di chi manda il grazie non conserviamo il nome, l’indirizzo IP né dati del dispositivo, e non usiamo cookie.

La prima visita dal codice QR indica che la cartolina è arrivata: nella pagina del suo ordine l’acquirente vede quella cartolina come «Arrivata», senza altri dettagli, e la pagina aperta dal codice lo dice a chi la inquadra. La stessa informazione serve a verificare la richiesta di rispedizione gratuita di una cartolina non arrivata («Mancata consegna e rispedizione gratuita» nei Termini).

Cartoline non ancora pagate

Mentre l’acquirente crea le cartoline, la bozza (messaggi, eventuali email e indirizzi dei destinatari) viene salvata sui nostri server, così il lavoro non va perso se la pagina si chiude. La bozza è collegata al browser con un cookie tecnico necessario al servizio, che contiene soltanto un codice casuale. Se chi è entrato nel proprio spazio «Le mie cartoline» apre un’altra cartolina mentre ne ha una a metà, quella a metà resta collegata allo spazio, fra le «Cartoline a metà», con gli stessi tempi di conservazione della bozza; da lì può eliminarla quando vuole.

Quando la bozza viene creata, registriamo con essa anche la città approssimativa da cui si collega il browser, stimata da Vercel a partire dall’indirizzo IP (che non conserviamo) e spesso diversa da quella reale, e il tipo di sito da cui è arrivata la visita, scelto da un elenco fisso (per esempio un motore di ricerca, un social network, un’email, un altro sito o nessuno), senza l’indirizzo della pagina. Fino ad allora il tipo di sito resta soltanto nella memoria di sessione del browser e si cancella quando si chiude la scheda. Questi due dati non passano all’ordine.

Se l’acquirente chiede di ricevere il link «Continua più tardi», usiamo l’indirizzo email indicato soltanto per mandargli quel link.

Invita un amico

Chi apre il link «Invita un amico» di un altro acquirente e sceglie «Scrivi le tue cartoline» riceve un cookie tecnico necessario al servizio, che contiene soltanto il codice casuale dell’invito e serve ad applicare lo sconto. Quando l’ordine viene pagato, registriamo da quale invito proviene e confrontiamo, soltanto nel nostro database, l’email dei due acquirenti, per non dare un buono a chi invita sé stesso. Nessuno dei due vede l’ordine o i dati dell’altro: chi ha mandato il link sa soltanto che qualcuno ha ordinato e riceve un buono, che gli mandiamo per email all’indirizzo del suo ordine. Chi apre il link del buono riceve un cookie tecnico dello stesso tipo, con il codice casuale del buono; quando un ordine lo usa, registriamo quale ordine l’ha usato.

Cartoline aggiunte a un ordine

Chi, dalla pagina del proprio ordine, sceglie «Aggiungi cartoline» riceve un cookie tecnico necessario al servizio, che contiene il codice privato di quell’ordine e serve soltanto a collegare le cartoline aggiunte a quell’ordine. Il nuovo ordine resta separato: lo colleghiamo a quello da cui continua soltanto per ritrovarlo dalla stessa pagina.

Cartoline in omaggio

Chi apre un codice o un link «Cartoline in omaggio» riceve un cookie tecnico necessario al servizio, che contiene soltanto il codice e serve ad applicare l’omaggio; per un link valido per più persone, al momento del pagamento un secondo cookie tecnico contiene soltanto un codice casuale e serve a non applicare l’omaggio due volte nello stesso browser. Per ogni codice contiamo quante volte viene aperto, con la data della prima e dell’ultima apertura, e registriamo quale ordine lo ha usato. Non sappiamo e non registriamo chi ha ricevuto o aperto un codice: i codici non sono collegati a nomi, email o indirizzi. Base giuridica: esecuzione del contratto e di misure precontrattuali adottate su richiesta dell’interessato, ai sensi dell’art. 6, par. 1, lett. b) GDPR.

«La tua calligrafia» (facoltativa)

Se l’acquirente sceglie «La tua calligrafia», fotografa un breve testo copiato a mano da lui, oppure da un’altra persona che è d’accordo: le cartoline vengono poi scritte con quella calligrafia. La foto viene elaborata al momento, soltanto per ricavare la forma delle lettere, e non viene conservata. L’elaborazione avviene in memoria, sul nostro servizio privato ospitato da Vercel nella regione di Francoforte (Germania): la foto non viene salvata né scritta nei log, e prima dell’invio il browser toglie i dati di posizione del telefono.

Conserviamo soltanto i contorni delle lettere così ricavati, cioè le loro forme, per scrivere i messaggi delle cartoline: al massimo tre calligrafie per ordine, perché cartoline diverse possono essere scritte da persone diverse.

Se l’acquirente ha indicato l’email del destinatario, l’email con la versione digitale contiene un’immagine di quella cartolina, fronte e retro, con il messaggio scritto nella stessa calligrafia della cartolina stampata e senza l’indirizzo.

Dopo un ordine pagato, l’email di conferma contiene un link privato: da lì l’acquirente può scegliere «Conservala per i prossimi ordini» oppure cancellare subito la calligrafia. Se non sceglie nulla, la calligrafia non viene conservata oltre i tempi indicati al punto 6. Del link conserviamo soltanto un codice derivato, da cui non è possibile ricostruirlo.

«La tua foto» (facoltativa)

Se l’acquirente sceglie «La tua foto», carica una fotografia da stampare sul fronte della cartolina. Prima del caricamento il browser toglie dalla foto i dati di posizione. Conserviamo la foto sui nostri server e la usiamo soltanto per stampare quella cartolina e per mostrarla:

• nell’anteprima, mentre l’acquirente crea la cartolina;
• nel riepilogo prima del pagamento e nella pagina privata dell’ordine;
• nella versione digitale privata di quella cartolina e nella pagina che si apre dal suo codice QR.

La foto non viene mai inviata per email: l’email con la versione digitale di una cartolina con «La tua foto» non contiene immagini della cartolina.

Se nella foto compaiono altre persone, trattiamo anche la loro immagine, soltanto per questi scopi.

Né le foto né la calligrafia vengono usate per identificare o riconoscere persone, per profilazione o per addestrare sistemi di intelligenza artificiale. Non le usiamo nemmeno per pubblicità o per mostrare i nostri lavori.

«Aiutami a scrivere» (facoltativo)

Dentro «Fonti d’ispirazione» l’acquirente può chiedere a un sistema di intelligenza artificiale di proporgli il messaggio del retro, partendo da una riga scritta da lui (per esempio «ai nonni, grazie per l’estate al mare») oppure dal messaggio già scritto sulla cartolina («Più caldo», «Più corto», «In rima» e così via). Il sistema è fornito da Anthropic, a cui il nostro server manda soltanto:

• l’azione scelta;
• la riga scritta dall’acquirente, in cui prima dell’invio sostituiamo eventuali email, numeri di telefono e indirizzi con «[…]»;
• il messaggio già scritto sulla cartolina, quando l’acquirente chiede di cambiarlo;
• se la cartolina va a una persona o a più persone.

Non mandiamo mai ad Anthropic gli indirizzi postali, i nomi scritti negli indirizzi, le email dei destinatari, i codici della bozza o dell’ordine né l’indirizzo IP dell’acquirente.

La proposta compare sulla cartolina e diventa il messaggio soltanto se l’acquirente sceglie «Usa questo»; dopo può cambiarla come vuole. Non conserviamo le richieste né le proposte non usate e non le scriviamo nei log. Anthropic tratta questi testi per nostro conto, soltanto per scrivere la proposta: non li usa per addestrare i suoi modelli e li cancella entro 30 giorni, salvo quanto il suo contratto prevede per la sicurezza e la prevenzione degli abusi.

Accanto al pulsante indichiamo che il testo è scritto con l’intelligenza artificiale e chiediamo di non scrivere indirizzi o dati privati.

«Aggiungi un disegnetto» (facoltativo)

Se l’acquirente sceglie «Aggiungi un disegnetto», disegna col dito o col mouse un piccolo disegno sotto il messaggio: un cuore, una stella, lo scarabocchio dei bimbi. Non è pensato per la firma che si usa sui documenti.

Conserviamo soltanto il disegno delle linee, cioè la loro forma e il loro spessore, per stamparlo con la stessa penna del messaggio. Non conserviamo né inviamo i tempi o la pressione del tratto: sul dispositivo servono soltanto a decidere lo spessore della linea.

Il disegnetto compare dove compare il messaggio: nell’anteprima, nel riepilogo, nella pagina dell’ordine, nella versione digitale, nella pagina del codice QR, nell’immagine della cartolina che può accompagnare l’email al destinatario e sulla cartolina stampata. Non viene usato per identificare o riconoscere persone, per profilazione o per addestrare sistemi di intelligenza artificiale.

«Cartolina parlante» (facoltativa)

Se l’acquirente sceglie «Cartolina parlante», registra dal browser un saluto di al massimo un minuto. Il browser chiede il permesso di usare il microfono, e la registrazione dura soltanto finché l’acquirente non tocca «Fine». Conserviamo la registrazione in un archivio privato di Vercel e la facciamo ascoltare soltanto:

• all’acquirente, mentre crea la cartolina, nel riepilogo e nella pagina del suo ordine;
• a chiunque inquadri il codice QR stampato sulla cartolina, nella pagina che si apre;
• nella versione digitale privata di quella cartolina, dopo la sua spedizione.

La registrazione non viene mai inviata per email: l’email con la versione digitale dice soltanto che sulla cartolina c’è anche una voce. Le registrazioni non vengono ascoltate da Ti ho pensato prima della stampa.

Come la cartolina, che viaggia senza busta, la voce può ascoltarla chiunque abbia in mano la cartolina e ne inquadri il codice: lo diciamo prima della registrazione. Se nella registrazione parlano altre persone, bambini compresi, trattiamo anche la loro voce, soltanto per questi scopi; chi registra conferma che chi parla è d’accordo e, per un bambino, chi ne esercita la responsabilità genitoriale.

La voce non viene trascritta, analizzata né usata per riconoscere chi parla, per profilazione o per addestrare sistemi di intelligenza artificiale.

Newsletter «Restiamo in contatto»

Quando una persona si iscrive alla newsletter «Restiamo in contatto», in homepage, trattiamo l’indirizzo email fornito, la data di iscrizione, l’eventuale data in cui ha chiesto di non riceverla più e gli eventuali parametri tecnici della campagna di provenienza, come fonte, campagna e contenuto. Questi parametri non devono contenere dati personali.

Finché gli ordini non sono aperti, chi preme «Paga» può lasciare la sua email per essere avvisato dell’apertura: trattiamo l’email, la data della richiesta e il collegamento alle cartoline già create in quel browser, per sapere quante ne attendono. Chi ci scrive con «Ti servono prima?» ci manda l’email e il messaggio, che riceviamo nella casella di assistenza e non conserviamo sul sito.

«Le mie cartoline»

Chi sceglie di creare il proprio spazio «Le mie cartoline» entra con la sola email: gli mandiamo un codice di 6 cifre e un pulsante «Entra», senza password. Per lo spazio trattiamo l’indirizzo email, le date di creazione e dell’ultima visita, gli ordini pagati con la stessa email, che vengono collegati allo spazio, e, per ogni dispositivo da cui si entra, il tipo di dispositivo e di browser (per esempio «iPhone · Safari»), la città approssimativa stimata da Vercel e la data dell’ultima visita. Non conserviamo l’indirizzo IP né il testo completo dell’intestazione del browser. Del codice, del pulsante «Entra» e dei cookie tecnici dello spazio conserviamo soltanto codici derivati, da cui non è possibile ricostruirli.

Lo spazio è facoltativo: per ordinare non serve. Base giuridica: esecuzione del contratto e di misure precontrattuali adottate su richiesta dell’interessato, ai sensi dell’art. 6, par. 1, lett. b) GDPR; per la sicurezza dello spazio (limiti ai tentativi, avviso quando si entra da un dispositivo nuovo) il legittimo interesse a proteggerlo, ai sensi dell’art. 6, par. 1, lett. f) GDPR.

Il carnet. Per chi compra un carnet registriamo nel suo spazio il carnet, il prezzo pagato, le date di acquisto e di scadenza e quante cartoline ogni ordine ne ha usate. A Stripe passiamo l’email dello spazio, per la pagina di pagamento, e un codice casuale del carnet, mai un nome o un indirizzo. Usiamo l’email per la ricevuta e per un solo avviso prima della scadenza, se restano cartoline. I dati dell’acquisto si conservano per gli obblighi fiscali anche dopo l’eliminazione dello spazio, senza più collegarli a esso. Base giuridica: esecuzione del contratto e obblighi di legge, ai sensi dell’art. 6, par. 1, lett. b) e c) GDPR.

La rubrica di «Le mie cartoline»

Nella rubrica dello spazio teniamo le persone a cui l’acquirente manda le sue cartoline: il nome e, se c’è, l’indirizzo postale, un soprannome facoltativo (per esempio «Nonna Lucia»), come e quando la persona è entrata nella rubrica, le cartoline pagate che le sono state mandate e le date da ricordare. Di una data teniamo soltanto il giorno e il mese, mai l’anno, quindi non conserviamo l’età; ogni data ha il suo promemoria, spento finché l’acquirente non lo accende. Quando un ordine è pagato, ogni indirizzo che l’acquirente ha scritto per una cartolina entra da sé nella rubrica del suo spazio; se lo spazio non c’è ancora, ci entra quando l’acquirente lo crea con la stessa email. Un indirizzo che l’acquirente non ha scritto entra nella rubrica soltanto se la persona stessa ha detto di sì. L’acquirente può togliere chiunque in qualsiasi momento. La rubrica è una copia: l’indirizzo di ogni cartolina segue comunque i tempi indicati al punto 6.

«Raccogli gli indirizzi» (facoltativo)

Chi ha uno spazio può creare un link con il proprio nome, un titolo, un breve messaggio e un’occasione, e mandarlo a chi vuole. Chi apre il link può scrivere il proprio nome, il proprio indirizzo postale e, se vuole, il giorno e il mese del compleanno. Prima di inviare legge chi riceverà questi dati, a che cosa servono e come farli cancellare, e deve acconsentire che siano salvati nella rubrica della persona che firma il link, per mandargli cartoline; per rispondere non serve uno spazio. Teniamo la risposta, la data del consenso e il link da cui è arrivata. Del link conserviamo soltanto un codice derivato, da cui non è possibile ricostruirlo, e non registriamo l’indirizzo IP né il dispositivo di chi risponde: per limitare gli abusi contiamo le risposte di ciascuna rete soltanto con un codice da cui non è possibile risalire all’indirizzo IP.

In cima alla pagina del link l’acquirente può mettere uno dei fronti della nostra collezione per quell’occasione; non vi compaiono foto dell’acquirente né dati di altre persone.

Una volta l’anno, per esempio prima di Natale, l’acquirente può chiedere a una persona della sua rubrica se l’indirizzo è ancora giusto («È ancora giusto?»). È l’acquirente stesso a mandarle, per esempio su WhatsApp, un link privato che mostra soltanto il nome, l’indirizzo e il compleanno che ha di quella persona, firmato con il nome che l’acquirente ha scritto. La persona può confermarli, correggerli o chiedere di uscire dalla rubrica: in quel caso la togliamo subito, con le sue date. Teniamo quando la richiesta è stata fatta, quando e come la persona ha risposto (confermato o cambiato) e un codice derivato dal link, da cui non è possibile ricostruirlo. Non mandiamo email alle persone della rubrica e non chiediamo la loro email. La base giuridica è il legittimo interesse dell’acquirente e della persona a che le cartoline arrivino all’indirizzo giusto; la persona può opporsi in qualsiasi momento con «Toglimi» o scrivendo a ciao@tihopensato.it.

Allo stesso modo, sul link privato di una cartolina e sul link per il gruppo di un ordine, chi scrive un indirizzo può spuntare «Posso tenerlo per le prossime cartoline?». Soltanto con la spunta l’indirizzo entra nella rubrica dell’acquirente, e ne teniamo la data; senza, l’acquirente continua a non vedere l’indirizzo, come indicato al punto 11.

Promemoria delle date (facoltativi)

Per ogni data con il promemoria acceso mandiamo un’email all’indirizzo dello spazio qualche giorno prima del giorno entro cui ordinare la cartolina (3, 7 o 14 giorni, a scelta nel profilo). L’email indica il nome della persona e la sua città, mai la via. Ne mandiamo una sola per data e per anno, e teniamo traccia dell’invio per non ripeterlo.

Allo stesso modo l’acquirente può accendere il promemoria di una festa del calendario (per esempio la festa della mamma): qualche giorno prima riceve un’email con una cartolina già pronta, fronte e retro, da mandare così o cambiare. Per firmarla usiamo il nome che l’acquirente ha scritto nel profilo («Il tuo nome», facoltativo). Teniamo quali feste ha acceso e la traccia di ogni invio, uno per festa e per anno; il nome resta finché l’acquirente non lo toglie o non elimina lo spazio.

Dati tecnici

Se la misurazione geografica è attiva, contiamo le visualizzazioni di alcune pagine pubbliche per giorno, pagina, Paese, regione e città approssimativa e categoria stimata di dispositivo (mobile, computer, tablet o non determinato), ricavata dall’intestazione del browser senza conservarne il testo né creare identificativi. Quando una pagina è aperta dal link di una nostra campagna, contiamo anche la fonte e il nome della campagna (i parametri utm_source e utm_campaign), soltanto se sono fra quelli che abbiamo scelto. Se in quella stessa visita viene fatto un ordine, registriamo con l’ordine la fonte e il nome di quella campagna, per sapere quali campagne portano ordini: fino ad allora restano soltanto nella memoria di sessione del browser, senza alcun identificativo, e si cancellano quando si chiude la scheda. La posizione è stimata da Vercel a partire dall’indirizzo IP della richiesta e può essere inesatta. Conserviamo soltanto conteggi aggregati, in un database Redis gestito da Upstash: non salviamo indirizzi IP, identificativi dei visitatori, altri parametri dei link, contenuti delle cartoline o indirizzi postali per questa misurazione. Per limitare gli abusi contiamo le richieste di ciascuna rete per al massimo un minuto, con un codice da cui non è possibile risalire all’indirizzo IP. Le pagine dei link privati sono escluse. Non usiamo cookie o memoria del browser per riconoscere chi visita il sito. Questa misurazione avviene anche quando il browser invia i segnali Do Not Track o Global Privacy Control. Nei report le città con meno di 10 visualizzazioni nel periodo selezionato sono raggruppate nella regione senza mostrarne il nome; i conteggi giornalieri conservati includono comunque la città. La soglia riguarda visualizzazioni, non persone distinte. Per rappresentare le città su una mappa conserviamo coordinate geografiche approssimative fornite da Vercel, arrotondate a un decimo di grado; non accediamo alla posizione GPS del dispositivo. I conteggi di ogni giorno restano in Redis per 180 giorni, poi vengono cancellati automaticamente; prima ne copiamo una versione senza coordinate (giorno, pagina, Paese, regione, città, categoria di dispositivo e campagna, con il numero di visualizzazioni) nel nostro database Neon, dove la conserviamo senza limite di tempo per confrontare l’andamento negli anni. Allo stesso modo conserviamo, per ogni giorno, quante bozze di cartolina sono state iniziate e quante persone hanno chiesto di essere avvisate dell’apertura degli ordini, con la campagna da cui sono arrivate: soltanto numeri, senza contenuti, indirizzi email o altri dati delle persone.

Usiamo inoltre Vercel Web Analytics per sapere da dove arrivano le visite alle pagine pubbliche: la pagina visitata, il sito di provenienza, i parametri utm delle campagne, il Paese, il tipo di dispositivo, il browser e il sistema operativo. Vercel Web Analytics non usa cookie: per contare le visite senza riconoscere le persone ricava dalla richiesta un identificativo temporaneo, da cui non è possibile risalire all’indirizzo IP, che viene scartato entro 24 ore. Le pagine dei link privati non vengono inviate, e degli indirizzi delle pagine teniamo soltanto i parametri utm. Vediamo soltanto statistiche aggregate.

Cookie e memoria del browser

Il sito usa soltanto cookie tecnici di prima parte, necessari a fornire quello che l’utente chiede. Non usa cookie di profilazione o pubblicitari, né cookie o strumenti di terze parti che tracciano le persone tra siti diversi: per questo non chiede un consenso. Se in futuro ne usassimo, li attiveremmo soltanto dopo il consenso dell’utente, chiesto con un avviso che permette di rifiutarli con la stessa facilità con cui si accettano, e aggiorneremmo questa informativa.

I cookie tecnici, ciascuno descritto in questo punto e con la durata indicata al punto 6, sono: quello della bozza delle cartoline non ancora pagate; quello per aggiungere cartoline a un ordine; quelli dell’invito di un amico e del buono; quelli delle cartoline in omaggio, che durano al massimo fino alla scadenza del codice; quelli dello spazio «Le mie cartoline». Alcuni di questi cookie hanno accanto un secondo cookie tecnico, senza alcun codice, che dice soltanto alla pagina che il primo esiste e dura quanto lui. Chi lavora per Ti ho pensato riceve inoltre cookie tecnici per entrare nelle pagine interne del servizio.

Nella memoria di sessione del browser, che si cancella quando si chiude la scheda, teniamo soltanto indicazioni temporanee senza dati personali: per esempio, nelle pagine per fotografare la calligrafia o una foto dal telefono, il momento in cui si è aperta la fotocamera, per riprendere da dove si era rimasti, e la campagna di provenienza descritta qui sopra.

I fornitori tecnologici utilizzati per ospitare e proteggere il servizio possono trattare dati tecnici necessari al funzionamento, alla sicurezza e alla prevenzione di abusi, come informazioni relative alle richieste di rete e log tecnici.

Ti ho pensato non utilizza indirizzi IP, identificativi del dispositivo o tecniche di fingerprinting per costruire profili pubblicitari degli utenti.

3. Da dove provengono i dati

I dati dell’acquirente e l’email per la newsletter o per l’avviso dell’apertura degli ordini vengono forniti direttamente dalla persona interessata. I dati relativi al pagamento possono anche essere ricevuti dal fornitore del servizio di pagamento in relazione alla transazione.

I dati del destinatario possono provenire:

• dall’acquirente che decide di inviare la cartolina;
• direttamente dal destinatario, quando quest’ultimo inserisce il proprio indirizzo postale;
• da altre persone a cui l’acquirente manda il link per il gruppo, quando vi scrivono uno o più indirizzi;
• dai sistemi di Ti ho pensato quando il destinatario apre il proprio link privato o utilizza le funzionalità della pagina.

Le persone della rubrica vengono dall’acquirente, quando ne aggiunge una o quando paga una cartolina di cui ha scritto l’indirizzo, oppure dalla persona stessa, quando risponde a un link «Raccogli gli indirizzi» o spunta «Posso tenerlo per le prossime cartoline?». Le date da ricordare le scrive l’acquirente, oppure, per il compleanno, la persona che risponde al link.

Le parole di un grazie vengono da chi inquadra il codice QR della cartolina e sceglie di scriverle: di solito chi l’ha ricevuta, ma può essere chiunque abbia la cartolina in mano. Non sappiamo chi è e non gli chiediamo il nome.

Quando i dati di un destinatario sono stati comunicati da un’altra persona, Ti ho pensato informa il destinatario del trattamento attraverso il primo contatto utile, ad esempio nell’email relativa al regalo o nella pagina della versione digitale, e in ogni caso con l’indirizzo di questa informativa («tihopensato.it/privacy») stampato sul retro di ogni cartolina.

La foto caricata per il fronte, con l’immagine delle persone che vi compaiono, è fornita dall’acquirente; lo stesso vale per la calligrafia di un’altra persona fotografata con il suo accordo. Poiché non sappiamo chi sono queste persone, non possiamo informarle direttamente: chiediamo all’acquirente di avere il loro permesso e di informarle, anche indicando questa pagina.

Lo stesso vale per la voce di altre persone, bambini compresi, registrata dall’acquirente con «Cartolina parlante».

4. Perché trattiamo i dati e su quale base giuridica

Gestione dell’ordine dell’acquirente

I dati necessari per ricevere il pagamento, produrre le cartoline, fornire la versione digitale e gestire l’ordine vengono trattati perché necessari all’esecuzione del contratto con l’acquirente.

Base giuridica: art. 6, par. 1, lett. b) GDPR.

Obblighi amministrativi, fiscali e legali

Alcune informazioni relative alle transazioni possono essere conservate per adempiere agli obblighi previsti dalla legge.

Base giuridica: art. 6, par. 1, lett. c) GDPR.

Realizzazione e consegna del regalo al destinatario

Il nome, l’eventuale email, il messaggio e l’indirizzo del destinatario vengono utilizzati esclusivamente nella misura necessaria per realizzare, comunicare e consegnare il regalo richiesto dall’acquirente.

La data della prima visita dal codice QR stampato sulla cartolina serve anche a mostrare all’acquirente che la cartolina è arrivata e a verificare le richieste di rispedizione gratuita.

Base giuridica: legittimo interesse del titolare e dell’acquirente a realizzare e consegnare il regalo, nel rispetto dei diritti e delle ragionevoli aspettative del destinatario, ai sensi dell’art. 6, par. 1, lett. f) GDPR.

Il destinatario può opporsi al trattamento contattando ciao@tihopensato.it.

«La tua calligrafia»

La calligrafia viene ricavata dalla foto e usata soltanto su richiesta dell’acquirente, per scrivere le cartoline del suo ordine. Per lo stesso motivo la conserviamo fino a 30 giorni dopo la spedizione delle cartoline, per gestire eventuali reclami o ristampe; per una cartolina che non risulta arrivata, fino a 60 giorni dopo la spedizione, per un’eventuale rispedizione gratuita.

Base giuridica: esecuzione del contratto e di misure precontrattuali adottate su richiesta dell’acquirente, ai sensi dell’art. 6, par. 1, lett. b) GDPR.

La conserviamo per gli ordini successivi soltanto se l’acquirente lo sceglie, con «Conservala per i prossimi ordini» dal link privato nell’email di conferma. Se la calligrafia è di un’altra persona, l’acquirente fa questa scelta soltanto con il suo accordo.

Chi è entrato nel suo spazio «Le mie cartoline» fa la stessa scelta fotografando la calligrafia da lì: la conserviamo nello spazio, al massimo tre, con il nome che le dà, per 24 mesi dall’ultimo ordine pagato che la usa, e può rinominarla o cancellarla in qualsiasi momento da «Le mie calligrafie». Eliminare lo spazio cancella anche le calligrafie, salvo quelle che servono ancora a stampare le cartoline di un ordine, cancellate appena non servono più.

Base giuridica: consenso, ai sensi dell’art. 6, par. 1, lett. a) GDPR. Il consenso è facoltativo: senza, il servizio funziona allo stesso modo e per un nuovo ordine basta rifare la foto. Può essere revocato in qualsiasi momento dallo stesso link o scrivendo a ciao@tihopensato.it; la revoca non pregiudica la liceità del trattamento svolto prima.

«La tua foto»

La foto viene usata per stampare il fronte della cartolina ordinata e per mostrarla nelle pagine indicate al punto 2.

Base giuridica: esecuzione del contratto e di misure precontrattuali adottate su richiesta dell’acquirente, ai sensi dell’art. 6, par. 1, lett. b) GDPR. Per le altre persone che compaiono nella foto: legittimo interesse del titolare e dell’acquirente a realizzare la cartolina richiesta, limitatamente alla stampa e alle pagine private indicate, ai sensi dell’art. 6, par. 1, lett. f) GDPR. L’acquirente dichiara di avere il permesso delle persone ritratte e, per i minori, di chi esercita la responsabilità genitoriale.

Le persone ritratte possono opporsi al trattamento o chiedere la cancellazione della foto scrivendo a ciao@tihopensato.it.

«Aiutami a scrivere»

I testi descritti al punto 2 vengono mandati ad Anthropic soltanto quando l’acquirente lo chiede, per proporgli il messaggio della sua cartolina.

Base giuridica: esecuzione del contratto e di misure precontrattuali adottate su richiesta dell’acquirente, ai sensi dell’art. 6, par. 1, lett. b) GDPR. Se la riga o il messaggio parlano di altre persone, per esempio con il loro nome: legittimo interesse del titolare e dell’acquirente a scrivere la cartolina richiesta, ai sensi dell’art. 6, par. 1, lett. f) GDPR.

«Aggiungi un disegnetto»

Il disegnetto viene conservato e usato soltanto per stampare la cartolina ordinata e per mostrarla dove compare il messaggio.

Base giuridica: esecuzione del contratto e di misure precontrattuali adottate su richiesta dell’acquirente, ai sensi dell’art. 6, par. 1, lett. b) GDPR.

«Cartolina parlante»

La registrazione viene conservata e fatta ascoltare soltanto nelle pagine indicate al punto 2, perché chi riceve la cartolina possa sentire il saluto dell’acquirente, anche più volte.

Base giuridica: esecuzione del contratto e di misure precontrattuali adottate su richiesta dell’acquirente, ai sensi dell’art. 6, par. 1, lett. b) GDPR. Per le altre persone che parlano nella registrazione: legittimo interesse del titolare e dell’acquirente a realizzare la cartolina richiesta, limitatamente alle pagine indicate, ai sensi dell’art. 6, par. 1, lett. f) GDPR. L’acquirente dichiara di avere il loro permesso e, per i minori, di chi esercita la responsabilità genitoriale.

Chi parla nella registrazione può opporsi al trattamento o chiederne la cancellazione scrivendo a ciao@tihopensato.it.

«Di’ grazie»

Le parole e la data di un grazie servono soltanto a consegnare all’acquirente il messaggio che chi ha la cartolina ha scelto di mandargli.

Base giuridica: legittimo interesse di chi manda il grazie e dell’acquirente a scambiarsi questo messaggio, e del titolare a consegnarlo, ai sensi dell’art. 6, par. 1, lett. f) GDPR.

La rubrica

Le persone e le date che l’acquirente aggiunge da sé, e le persone delle cartoline pagate di cui ha scritto lui l’indirizzo, servono soltanto a preparargli le prossime cartoline e, se lo chiede, a ricordargli le date.

Base giuridica: legittimo interesse dell’acquirente a ritrovare le persone a cui manda le sue cartoline, e del titolare a offrirgli questo servizio, ai sensi dell’art. 6, par. 1, lett. f) GDPR. Chi si trova nella rubrica di un acquirente può opporsi in qualsiasi momento scrivendo a ciao@tihopensato.it: lo togliamo dalla rubrica.

L’indirizzo e il compleanno scritti dalla persona stessa, con «Raccogli gli indirizzi» o con la spunta «Posso tenerlo per le prossime cartoline?», vengono salvati nella rubrica dell’acquirente soltanto con il suo consenso.

Base giuridica: consenso, ai sensi dell’art. 6, par. 1, lett. a) GDPR. Il consenso è facoltativo: senza la spunta, il link della cartolina funziona allo stesso modo. Può essere revocato in qualsiasi momento scrivendo a ciao@tihopensato.it, o chiedendo all’acquirente di toglierlo: in entrambi i casi la persona esce dalla rubrica. La revoca non pregiudica la liceità del trattamento svolto prima.

I promemoria vengono mandati soltanto per le date in cui l’acquirente li ha accesi. Base giuridica: esecuzione del contratto con l’acquirente, che li ha chiesti, ai sensi dell’art. 6, par. 1, lett. b) GDPR.

Sicurezza, prevenzione degli abusi e funzionamento del servizio

I dati tecnici strettamente necessari possono essere trattati per garantire sicurezza, affidabilità e prevenzione degli abusi.

Base giuridica: legittimo interesse del titolare ai sensi dell’art. 6, par. 1, lett. f) GDPR.

Newsletter e avviso dell’apertura degli ordini

L’email inserita nel modulo «Restiamo in contatto» viene usata soltanto per mandare, di tanto in tanto, la newsletter di Ti ho pensato: i fronti nuovi, le feste in arrivo e qualche idea per le cartoline, come richiesto al momento dell’iscrizione. Non la usiamo per profilazione e non la cediamo a nessuno. Allo stesso modo, l’email lasciata premendo «Paga» prima dell’apertura degli ordini viene usata soltanto per avvisare la persona quando potrà ordinare e, se ci ha scritto, per risponderle.

Base giuridica: consenso espresso con la richiesta di iscrizione, ai sensi dell’art. 6, par. 1, lett. a) GDPR. Il consenso può essere revocato in qualsiasi momento rispondendo a una delle nostre email o scrivendo a ciao@tihopensato.it.

Misurazione essenziale del funzionamento del servizio

Le informazioni minime relative all’apertura della versione digitale e all’utilizzo delle funzionalità del servizio possono essere trattate per verificarne il funzionamento e comprenderne l’utilizzo.

Non vengono impiegati cookie pubblicitari, fingerprinting o profilazione individuale per questa finalità.

Base giuridica: legittimo interesse del titolare al miglioramento del servizio, ai sensi dell’art. 6, par. 1, lett. f) GDPR.

Conteggio delle visite e Vercel Web Analytics

I conteggi aggregati delle visite e le statistiche di Vercel Web Analytics descritti al punto 2 servono a capire quali pagine e quali campagne funzionano, e in quali zone, per decidere dove promuovere il servizio. Non servono a riconoscere o profilare le persone.

Base giuridica: legittimo interesse del titolare a misurare in forma aggregata l’uso del sito e l’efficacia delle proprie campagne, ai sensi dell’art. 6, par. 1, lett. f) GDPR.

Provenienza delle bozze

La città approssimativa e il tipo di sito di provenienza registrati con una bozza (punto 2) servono a capire da dove arrivano le persone che stanno creando cartoline, per decidere dove e come promuovere il servizio. Li vede soltanto il titolare, insieme ai numeri della bozza, mai con i messaggi, i nomi o gli indirizzi; non servono a riconoscere o profilare le persone.

Base giuridica: legittimo interesse del titolare a capire da dove arriva chi usa il sito e a misurare l’efficacia delle proprie campagne, ai sensi dell’art. 6, par. 1, lett. f) GDPR.

5. Contenuti inseriti dagli utenti

Il messaggio della cartolina è liberamente scritto dall’acquirente.

Ti ho pensato non richiede né intende raccogliere categorie particolari di dati personali, come informazioni relative alla salute, all’origine etnica, alle convinzioni religiose o politiche, alla vita sessuale o ad altre informazioni particolarmente sensibili.

Gli utenti sono invitati a non inserire tali informazioni nei messaggi o negli altri campi liberi del servizio.

Lo stesso vale per la foto del fronte: la cartolina viaggia senza busta, quindi è bene evitare immagini che mostrino documenti, informazioni sulla salute o altri dettagli delicati su di sé o su altre persone. Le foto vengono stampate e mostrate come sono, dentro la cornice che l’acquirente sceglie: alcune cornici ne riprendono i colori o ne mettono dietro una copia sfocata. Non le analizziamo per ricavarne informazioni sulle persone ritratte.

Vale anche per la voce: chi inquadra il codice della cartolina può ascoltarla, quindi è bene non dire indirizzi, informazioni sulla salute o altri dettagli delicati.

Lo stesso vale per la riga scritta per «Aiutami a scrivere», che viene mandata ad Anthropic.

6. Per quanto tempo conserviamo i dati

Ti ho pensato applica il principio di minimizzazione e conserva i dati personali solo per il tempo necessario alla finalità per cui sono stati raccolti.

In particolare:

Indirizzo postale del destinatario: fino a 90 giorni dopo la spedizione della cartolina, salvo che sia necessario conservarlo più a lungo per gestire un problema di consegna, una richiesta di assistenza o una contestazione.

Email facoltativa del destinatario: fino a 90 giorni dopo l’ultima comunicazione relativa al regalo, salvo che sia necessario conservarla più a lungo per gestire errori di consegna o richieste di assistenza.

Email della newsletter o dell’avviso dell’apertura degli ordini: la newsletter fino alla revoca del consenso, l’avviso fino al suo invio, e comunque non oltre 24 mesi dall’iscrizione. Dopo la revoca conserviamo soltanto l’indirizzo e la data della richiesta, per non scrivere più a quella persona, fino allo stesso termine.

Link privato e accesso alla versione digitale: fino a 12 mesi dalla conclusione dell’ordine. Decorso tale periodo, l’accesso alla versione digitale può essere disattivato.

Messaggio e dati essenziali della personalizzazione dell’ordine: fino a 26 mesi dalla consegna della cartolina fisica, nella misura necessaria per gestire eventuali richieste relative alla conformità del prodotto, reclami o difesa di diritti. Se la cartolina non viene consegnata, il termine decorre dalla chiusura definitiva dell’ordine.

Dati relativi all’apertura e all’interazione con la versione digitale: fino a 12 mesi, dopodiché vengono cancellati o aggregati.

Date della prima visita dal codice QR e del primo tocco sul pulsante «Manda una cartolina a qualcuno»: 12 mesi, dopodiché vengono cancellate.

Bozza delle cartoline non ancora pagate e relativo cookie tecnico: fino a 30 giorni dall’ultima modifica. Dopo il pagamento il contenuto della bozza viene cancellato subito, perché l’ordine ne conserva una copia, insieme alla città approssimativa e al tipo di sito di provenienza; il cookie scade al più tardi dopo 7 giorni.

Cookie tecnico dell’invito di un amico: al massimo 7 giorni. Cookie tecnico del buono: fino alla scadenza del buono (al massimo 30 giorni).

Cookie tecnico per aggiungere cartoline a un ordine: al massimo 7 giorni.

Calligrafia (forme delle lettere ricavate dalla foto): se non viene usata in un ordine pagato, fino a 30 giorni dall’ultimo utilizzo (oppure, se è più tardi, fino a 7 giorni dalla creazione di un ordine rimasto non pagato); se viene usata in un ordine pagato, fino a 30 giorni dopo la spedizione delle cartoline, per gestire eventuali reclami o ristampe, o fino a 60 giorni dopo la spedizione per una cartolina che non risulta arrivata, per un’eventuale rispedizione gratuita (se le cartoline non vengono spedite perché l’indirizzo non arriva, fino a 90 giorni dopo il pagamento). Se l’acquirente sceglie «Conservala per i prossimi ordini», la conserviamo per 24 mesi da quella scelta; ogni successivo ordine pagato che la usa fa ripartire i 24 mesi. Senza questa scelta non la conserviamo più a lungo. L’acquirente può cancellarla in qualsiasi momento. La foto della scrittura non viene conservata.

Foto caricata per il fronte («La tua foto»): se non viene usata in un ordine pagato, fino a 30 giorni dall’ultimo utilizzo (oppure, se è più tardi, fino a 7 giorni dalla creazione di un ordine rimasto non pagato); se viene usata in un ordine pagato, fino a 3 mesi dopo la spedizione, per un’eventuale rispedizione gratuita e perché l’acquirente possa riusare lo stesso fronte in una nuova cartolina (se la cartolina non viene spedita perché l’indirizzo non arriva, fino a 90 giorni dopo il pagamento). Quando l’acquirente riusa il fronte, ne facciamo una copia che segue i tempi della nuova bozza. Dopo la cancellazione, la versione digitale e la pagina del codice QR mostrano la cartolina senza la foto.

Disegnetto sul retro («Aggiungi un disegnetto»): nella bozza, fino a 30 giorni dall’ultima modifica; in un ordine non pagato, fino a 7 giorni dalla sua creazione; in un ordine pagato, fino a 30 giorni dopo la spedizione se la cartolina risulta arrivata (il codice QR è stato inquadrato), altrimenti fino a 60 giorni dopo la spedizione, per un’eventuale rispedizione gratuita (se la cartolina non viene spedita perché l’indirizzo non arriva, fino a 90 giorni dopo il pagamento). Dopo la cancellazione, la versione digitale e la pagina del codice QR mostrano il retro senza il disegnetto.

Registrazione della voce («Cartolina parlante»): se non viene usata in un ordine pagato, fino a 30 giorni dall’ultimo utilizzo (oppure, se è più tardi, fino a 7 giorni dalla creazione di un ordine rimasto non pagato); se viene usata in un ordine pagato, fino a 12 mesi dopo la spedizione della cartolina, perché chi la riceve possa riascoltarla (se la cartolina non viene spedita perché l’indirizzo non arriva, fino a 90 giorni dopo il pagamento). Può essere cancellata prima in qualsiasi momento, su richiesta. Dopo la cancellazione, la pagina del codice QR dice che il messaggio vocale non c’è più.

Grazie dalla pagina del codice QR («Di’ grazie»): le parole fino a 90 giorni dall’invio del grazie, o fino a quando l’acquirente le nasconde, se prima; la data del grazie 12 mesi, dopodiché viene cancellata.

Richieste e proposte di «Aiutami a scrivere»: non le conserviamo. Una proposta resta soltanto nella pagina aperta dall’acquirente; se la sceglie, diventa il messaggio della cartolina e segue i suoi tempi. Anthropic le cancella entro 30 giorni, salvo quanto il suo contratto prevede per la sicurezza e la prevenzione degli abusi.

Email indicata per «Continua più tardi»: non viene conservata. Per limitare gli abusi conserviamo per al massimo un giorno soltanto un codice derivato da essa, da cui non è possibile risalire all’indirizzo.

Spazio «Le mie cartoline»: finché la persona non lo elimina dal suo profilo; gli ordini collegati seguono i loro tempi e, eliminando lo spazio, perdono soltanto il collegamento. Codici e pulsanti «Entra»: valgono 10 minuti e vengono cancellati un giorno dopo la scadenza. Dispositivi e relativo cookie tecnico: un dispositivo resta dentro per 6 mesi dall’ultima visita, al massimo 400 giorni dal primo accesso, oppure fino a «Esci»; i suoi dati vengono cancellati 30 giorni dopo. Il cookie tecnico che riconosce un browser già usato per entrare dura al massimo 400 giorni.

Rubrica e date da ricordare: finché l’acquirente non toglie la persona, non svuota la rubrica o non elimina lo spazio; una data va via con la persona a cui appartiene. Togliere una persona non cambia le cartoline già ordinate, che seguono i loro tempi. Link «Raccogli gli indirizzi»: resta aperto finché l’acquirente non lo chiude, al massimo 12 mesi dalla creazione; le risposte già arrivate restano nella rubrica anche dopo che il link si è chiuso o è scaduto. Il link stesso, con il nome, il titolo e il messaggio scritti dall’acquirente, viene cancellato 30 giorni dopo che si è chiuso o è scaduto. Traccia di un promemoria inviato: 13 mesi, dopodiché viene cancellata. Lo stesso vale per la traccia del promemoria di una festa.

Richieste di assistenza: fino a 36 mesi dalla chiusura della richiesta, salvo necessità di ulteriore conservazione per la gestione di una contestazione o per la tutela di diritti.

Conteggi delle visite alle pagine pubbliche: in Redis fino a 180 giorni, poi cancellati automaticamente; la loro copia senza coordinate, e i conteggi giornalieri di bozze iniziate e richieste di avviso, senza limite di tempo, perché sono soltanto numeri aggregati. Statistiche di Vercel Web Analytics: soltanto aggregate, per il periodo previsto dal servizio di Vercel; l’identificativo temporaneo delle visite viene scartato entro 24 ore.

Dati amministrativi, fiscali, contabili e relativi alla transazione: per il periodo richiesto dalla normativa applicabile.

Eventuali dati necessari per l’accertamento, l’esercizio o la difesa di un diritto possono essere conservati per il tempo necessario a tale finalità.

7. A chi possono essere comunicati i dati

I dati possono essere trattati da fornitori che supportano Ti ho pensato nello svolgimento del servizio, tra cui fornitori di:

• hosting e infrastruttura informatica;
• database;
• servizi di pagamento;
• invio di email;
• servizi di posta elettronica e assistenza;
• produzione e spedizione postale.

Attualmente il servizio utilizza, tra gli altri, Vercel, Neon, Stripe, PayPal, Satispay, Resend e Zoho, ciascuno limitatamente alle attività necessarie al servizio.

Foto e calligrafia restano presso i fornitori già indicati: Vercel per l’hosting e l’archiviazione, e per il servizio che ricava la calligrafia dalla foto (regione di Francoforte, Germania); Neon per il database. Non le comunichiamo ad altri fornitori o soggetti, oltre a chi riceve la cartolina o ne apre le pagine private.

Le visite alle pagine pubbliche sono contate in forma aggregata nel database Redis di Upstash, quale responsabile del trattamento, nella regione di Francoforte (Germania), e la loro copia senza coordinate nel database Neon già indicato; le statistiche di Vercel Web Analytics restano presso Vercel.

Il disegnetto fatto col dito resta nel database Neon, con il resto della cartolina.

Le registrazioni della voce restano in un archivio privato di Vercel (Vercel Blob), e i dati che le collegano alla cartolina nel database Neon.

Le parole di un grazie restano nel database Neon e arrivano all’acquirente con un’email inviata tramite Resend.

Per «Aiutami a scrivere» usiamo inoltre Anthropic, quale responsabile del trattamento, soltanto per i testi descritti al punto 2.

La cartolina stampata, con il nome e l’indirizzo del destinatario, viene affidata a Poste Italiane S.p.A., che la recapita come titolare autonomo del servizio postale; per un indirizzo all’estero la recapita poi il servizio postale del Paese di destinazione. Se una cartolina non può essere consegnata, Poste Italiane la restituisce a Bottega dell’Immagine, all’indirizzo stampato sul retro.

I dati non vengono venduti a terzi.

Quando un fornitore agisce quale responsabile del trattamento, viene utilizzato nel rispetto dell’articolo 28 GDPR.

8. Trasferimenti fuori dallo Spazio Economico Europeo

Alcuni fornitori tecnologici possono trattare dati anche al di fuori dello Spazio Economico Europeo.

Quando ciò avviene, il trasferimento viene effettuato nel rispetto del Capo V del GDPR, utilizzando, a seconda dei casi, decisioni di adeguatezza, clausole contrattuali standard o altri strumenti riconosciuti dalla normativa applicabile. Per i fornitori con sede negli Stati Uniti il trasferimento si basa sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 (EU-U.S. Data Privacy Framework), quando il fornitore vi aderisce, altrimenti sulle clausole contrattuali standard approvate dalla Commissione.

Anthropic tratta i testi di «Aiutami a scrivere» negli Stati Uniti. Il trasferimento si basa sulle clausole contrattuali standard approvate dalla Commissione europea, contenute nell’accordo sul trattamento dei dati sottoscritto con Anthropic.

Ulteriori informazioni sulle garanzie applicabili possono essere richieste scrivendo a ciao@tihopensato.it.

9. Pagamenti

I pagamenti vengono gestiti tramite Stripe e, per chi sceglie di pagare con PayPal o Satispay, anche tramite PayPal o Satispay.

Ti ho pensato riceve le informazioni necessarie a sapere se il pagamento è stato completato e a gestire l’ordine, ma non riceve né conserva i dati completi della carta di pagamento.

Se chiedi la fattura con «Mi serve la fattura», trattiamo i dati per la fatturazione che scrivi (ragione sociale o nome e cognome, partita IVA o codice fiscale, sede, codice destinatario ed eventualmente PEC) soltanto per emettere la fattura elettronica, che è emessa da Bottega dell’Immagine di Boscolo Giuseppe Fiore e trasmessa tramite il Sistema di Interscambio dell’Agenzia delle Entrate, e per tenere le scritture contabili. La base giuridica è l’adempimento di un obbligo di legge; per lo stesso obbligo questi dati e la fattura sono conservati per 10 anni. Possono essere comunicati al consulente fiscale che tiene la contabilità. Non sono inseriti in link, non vengono comunicati al fornitore dei pagamenti e non sono usati per altri scopi.

10. Email

Le email automatiche relative agli ordini e ai regali vengono inviate tramite servizi dedicati di posta transazionale.

L’eventuale email del destinatario viene utilizzata soltanto per due invii: se manca l’indirizzo postale, un’email subito dopo il pagamento con il link privato necessario per comunicarlo; separatamente, la cartolina digitale, dopo la spedizione della cartolina.

L’email fornita con il modulo «Restiamo in contatto» riceve, di tanto in tanto, la nostra newsletter, come hai chiesto al momento dell’iscrizione. Ogni invio dice come smettere di riceverla: puoi revocare il consenso e chiedere la cancellazione in qualsiasi momento rispondendo a una delle nostre email o scrivendo a ciao@tihopensato.it.

L’email indicata per «Continua più tardi» viene utilizzata soltanto per mandare il link che permette di riprendere la cartolina, anche da un altro dispositivo.

L’email dello spazio «Le mie cartoline» viene utilizzata soltanto per mandare i codici per entrare o per confermare un’azione, l’avviso quando si entra da un dispositivo nuovo e la conferma dell’eliminazione dello spazio.

Con la rubrica, la stessa email riceve anche un avviso quando qualcuno risponde a un link «Raccogli gli indirizzi», al massimo uno al giorno per link, senza nomi né indirizzi e i promemoria delle date per cui l’acquirente li ha accesi, ciascuno con un collegamento per spegnere quello di una persona o tutti, senza dover entrare.

Quando chi ha ricevuto una cartolina dice grazie, l’acquirente riceve un’email con le sue parole, al massimo una al giorno per ordine: i grazie arrivati dopo vengono riuniti nell’email successiva.

Oltre alla newsletter, mandata soltanto a chi si è iscritto, non mandiamo email promozionali. L’unica email che contiene uno sconto è quella con il buono di «Invita un amico», mandata soltanto a chi ha condiviso il proprio link, come descritto al punto 2. Se un giorno volessimo mandare comunicazioni promozionali, lo faremmo soltanto con il consenso della persona, o nei limiti previsti dalla legge per chi ha già acquistato, sempre con la possibilità di opporsi in qualsiasi momento.

11. Link privati

L’acquirente può gestire il proprio ordine tramite un link privato; ogni versione digitale può inoltre essere accessibile tramite un distinto link privato.

Chiunque entri in possesso di uno di questi link potrebbe essere in grado di visualizzare la relativa pagina o, per il link dell’ordine, completare gli indirizzi ancora mancanti. L’acquirente e il destinatario sono pertanto invitati a non pubblicare o diffondere i link oltre le persone a cui desiderano consentire l’accesso.

Dalla pagina di un ordine pagato, l’acquirente può inoltre mandare un link per il gruppo alle persone che sceglie, perché vi scrivano uno o più indirizzi postali delle cartoline ancora prive di indirizzo. Questo link serve soltanto a raccogliere indirizzi: non mostra mai gli indirizzi già inseriti, né a chi lo apre né all’acquirente, che nella pagina dell’ordine vede soltanto il nome indicato in ciascun indirizzo arrivato. Il link smette di funzionare 60 giorni dopo la sua creazione, quando non restano cartoline da completare, oppure quando l’acquirente lo chiude dalla pagina dell’ordine.

Il link «Continua più tardi» inviato via email funziona una volta sola. Il codice QR stampato sulla cartolina mostra soltanto quella cartolina, mai l’indirizzo.

Se il fronte ha una foto caricata dall’acquirente, la foto compare anche nella versione digitale e nella pagina del codice QR di quella cartolina, finché non viene cancellata. Come ogni cartolina, anche questa viaggia senza busta: fronte e retro possono essere visti da chi la maneggia durante il recapito, e il codice QR stampato apre la sua pagina a chiunque lo inquadri.

Se è una «Cartolina parlante», il codice QR stampato fa ascoltare la voce a chiunque lo inquadri, finché non viene cancellata. Sotto il codice la cartolina dice «e ascolta la mia voce».

Chiunque abbia il link «Raccogli gli indirizzi» può rispondere, anche se l’ha ricevuto da altri: per questo l’acquirente lo manda soltanto a chi vuole. Il link non mostra mai le risposte già arrivate né i dati di altre persone; soltanto l’acquirente le vede, nella sua rubrica. Smette di accettare risposte quando l’acquirente lo chiude, dopo 500 risposte o 12 mesi dopo la sua creazione; entro quei 12 mesi l’acquirente può riaprirlo, se non sono passati 30 giorni dalla chiusura.

Il link «È ancora giusto?» mostra l’indirizzo di una sola persona a chi lo apre: per questo l’acquirente lo manda soltanto a quella persona. Funziona per una sola risposta e al massimo 30 giorni; se l’acquirente lo chiede di nuovo mentre è aperto, riceve lo stesso link.

Ti ho pensato non inserisce email o indirizzi postali nei link privati.

12. Diritti degli interessati

Nei casi previsti dal GDPR, l’interessato può esercitare i diritti di:

• accesso ai propri dati;
• rettifica dei dati inesatti;
• cancellazione;
• limitazione del trattamento;
• opposizione al trattamento fondato sul legittimo interesse;
• portabilità dei dati, quando applicabile;
• revoca del consenso, quando il trattamento si basa sul consenso, senza effetti sul trattamento svolto prima della revoca.

Le richieste possono essere inviate a:

ciao@tihopensato.it

Per la calligrafia, l’acquirente può usare anche il link privato nell’email di conferma: «Cancella la mia calligrafia» revoca l’eventuale consenso e la cancella subito. Se serve ancora per stampare o ristampare le cartoline di un ordine, il link smette subito di funzionare e la calligrafia viene cancellata appena quelle cartoline non ne hanno più bisogno, al più tardi 30 giorni dopo la spedizione (60 giorni per una cartolina che non risulta arrivata).

L’acquirente può chiedere in qualsiasi momento la cancellazione di una foto caricata. Anche le persone che compaiono in una foto, o la persona che ha scritto una calligrafia, possono esercitare questi diritti scrivendo allo stesso indirizzo, per esempio per chiedere che la foto non venga stampata o venga cancellata.

L’acquirente può chiedere in qualsiasi momento la cancellazione di una voce registrata, e lo stesso possono fare le persone che vi parlano, scrivendo a ciao@tihopensato.it. Prima del pagamento, «Togli» la toglie dalla cartolina.

L’acquirente può nascondere le parole di un grazie dalla pagina del suo ordine: le cancelliamo subito. Chi ha mandato un grazie può chiederne la cancellazione scrivendo a ciao@tihopensato.it.

Chi ha uno spazio «Le mie cartoline» può scaricarne i dati ed eliminarlo in qualsiasi momento dal proprio profilo, dopo aver scritto un nuovo codice: lo spazio viene cancellato subito.

Dal suo spazio l’acquirente può correggere o togliere una persona della rubrica, spegnere i promemoria e svuotare la rubrica. Il file «Scarica i miei dati» comprende la rubrica, le date, i link «Raccogli gli indirizzi» e i promemoria inviati. Chi si trova nella rubrica di un acquirente può chiedergli di toglierlo, oppure scrivere a ciao@tihopensato.it: lo togliamo dalla rubrica e, se aveva dato il consenso, lo consideriamo revocato.

Prima di rispondere, Ti ho pensato può richiedere le informazioni strettamente necessarie per verificare l’identità del richiedente.

13. Reclamo all’autorità di controllo

L’interessato ha il diritto di presentare reclamo all’autorità di controllo competente.

Per il titolare stabilito in Italia, l’autorità di riferimento è il:

Garante per la protezione dei dati personali

Ulteriori informazioni sono disponibili sul sito ufficiale dell’Autorità.

14. Decisioni automatizzate e profilazione

Ti ho pensato non utilizza i dati personali per adottare decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o analogamente significativi sull’interessato.

Non viene effettuata profilazione pubblicitaria dei destinatari.

Foto e calligrafia non vengono usate per identificare persone, per profilazione o per addestrare sistemi di intelligenza artificiale.

Lo stesso vale per il disegnetto fatto col dito.

La voce registrata non viene usata per riconoscere chi parla, per profilazione o per addestrare sistemi di intelligenza artificiale.

«Aiutami a scrivere» propone soltanto un testo: non decide nulla sull’acquirente né su altre persone, e il messaggio stampato è quello che l’acquirente sceglie e, se vuole, corregge.

15. Modifiche alla presente informativa

La presente informativa può essere aggiornata per riflettere modifiche al servizio, ai fornitori o alla normativa applicabile.

La versione aggiornata sarà pubblicata su tihopensato.it con l’indicazione della data dell’ultimo aggiornamento.