Informativa sul trattamento dei dati personali

Ultimo aggiornamento: [DA COMPLETARE: data di pubblicazione]

Questa informativa spiega come trattiamo i tuoi dati quando usi il sito WaterHero: la lista d'attesa, il negozio online, l'area cliente, le richieste (contatti, sconto studenti, Ambassador) e i giochi «Gioca e vinci» (Pioggia di Poteri e Tris di Poteri).

La scriviamo ai sensi dell'art. 13 del Regolamento (UE) 2016/679 («GDPR»). Il GDPR si applica perché offriamo prodotti a persone che si trovano nell'Unione europea (art. 3, par. 2, GDPR). Siamo una società di San Marino: per questo rispettiamo anche la Legge sammarinese 21 dicembre 2018, n. 171 sulla protezione dei dati personali.

1. Chi tratta i tuoi dati

Titolare del trattamento
PRESIDIA S.p.A., Strada Torinia 10, 47899 Serravalle, Repubblica di San Marino.
COE SM32104 · Reg. Società n. 10279.
Email per la privacy: [DA COMPLETARE: indirizzo dedicato, es. privacy@…]
PEC: [DA COMPLETARE]
WaterHero è un marchio di PRESIDIA S.p.A.

Rappresentante nell'Unione europea (art. 27 GDPR)
[DA COMPLETARE: nome e indirizzo del rappresentante designato in Italia o in un altro Stato UE]

Responsabile della protezione dei dati (DPO)
[DA COMPLETARE: dati di contatto del DPO, se nominato. Se non è nominato, eliminare questo paragrafo.]

2. Quali dati trattiamo, perché e per quanto tempo

Di seguito trovi una sezione per ogni finalità. Per ognuna indichiamo i dati, la base giuridica, il tempo di conservazione e se il conferimento è obbligatorio.

2.1 Navigazione e sicurezza del sito

• Dati: indirizzo IP, data e ora della richiesta, pagina richiesta, tipo di browser.
• Come: il sito passa attraverso la rete di Cloudflare, che protegge il server da attacchi e traffico automatico. Il nostro server usa l'indirizzo IP solo in memoria, per limitare il numero di richieste (per esempio, non più di 6 iscrizioni al minuto dallo stesso indirizzo). I registri (log) del nostro server non salvano indirizzi IP, email o parametri degli indirizzi.
• Base giuridica: legittimo interesse a proteggere il sito e i dati degli utenti (art. 6, par. 1, lett. f, GDPR).
• Conservazione: il dato in memoria si cancella entro 24 ore, o prima, al riavvio del server. Per i dati trattati da Cloudflare valgono i tempi indicati da Cloudflare: [DA COMPLETARE: tempi di conservazione dei log secondo il contratto e il piano Cloudflare].

2.2 Lista d'attesa («lista dei primi»)

• Dati: email; per chi ti interessa WaterHero (per te, per la famiglia, per lo sport); paese; dichiarazione di avere almeno 18 anni o di essere il genitore che iscrive; la preferenza che puoi indicare dopo (casa, sport, lavoro); il tuo numero di iscrizione («tessera»); il codice sconto personale che ti assegniamo al lancio e se l'hai usato; le email che ti abbiamo inviato.
• Prova del consenso: registriamo il testo e la versione delle caselle che hai spuntato, la data, l'indirizzo IP e il tipo di browser al momento dell'iscrizione.
• Dati sulla provenienza: la versione della pagina che hai visto (A, B o C) e, se presenti, i parametri della campagna da cui arrivi (utm_source, utm_medium, utm_campaign).
• Perché: confermare l'email (doppio opt-in), mandarti le anteprime, gli indizi, il reveal e le notizie sul primo lancio che hai chiesto; darti l'accesso anticipato al First Hero Drop; mandarti al lancio il codice sconto personale del 15% promesso agli iscritti (punto 5 dei termini della lista) e controllare al checkout che lo usi tu, una volta sola.
• Base giuridica: il tuo consenso all'iscrizione (art. 6, par. 1, lett. a, GDPR). Per il codice sconto del lancio: l'esecuzione dei termini della lista che accetti iscrivendoti (art. 6, par. 1, lett. b); l'email con il codice la ricevi anche se non hai dato il consenso alle comunicazioni promozionali, e contiene solo il codice e le sue regole. Per la prova del consenso: obbligo di dimostrare il consenso (art. 7, par. 1, GDPR) e legittimo interesse. Per la provenienza: legittimo interesse a capire quali campagne funzionano (art. 6, par. 1, lett. f).
• Obbligatorio? Email, interesse, paese e dichiarazione di età sono necessari per iscriversi. La preferenza è facoltativa.
• Conservazione:
  • iscrizioni non confermate: [DA COMPLETARE: proposta 30 giorni], poi cancellate;
  • iscrizioni confermate: fino alla disiscrizione e comunque non oltre 12 mesi dal lancio;
  • codice sconto del lancio: fino alla scadenza (30 giorni dal lancio) se non lo usi; se lo usi, resta collegato all'ordine e segue i tempi degli ordini (2.6 e 2.8);
  • dopo la disiscrizione conserviamo solo l'email, per non scriverti più per errore, per [DA COMPLETARE: proposta 24 mesi];
  • prova del consenso: per tutta la durata dell'iscrizione e per [DA COMPLETARE: proposta 24 mesi] dopo, per poter dimostrare di aver agito correttamente.

2.3 Inviti e partner

• Inviti: ogni iscritto riceve un link personale. Quando qualcuno si iscrive da quel link, registriamo chi lo ha invitato. Chi invita vede solo quante persone hanno confermato, mai i loro dati.
• Partner (creator, palestre, community): se ti iscrivi dal link di un partner, lo registriamo. Il partner vede solo numeri aggregati (quante iscrizioni, per giorno), mai nomi o email.
• Dati dei partner stessi: nome, tipo di partner, email di contatto e note interne, per gestire la collaborazione.
• Base giuridica: per gli iscritti, legittimo interesse a far funzionare il programma inviti e a riconoscere i vantaggi descritti nei termini della lista (art. 6, par. 1, lett. f). Per i partner, esecuzione dell'accordo di collaborazione (art. 6, par. 1, lett. b).
• Conservazione: il collegamento invito/partner segue l'iscrizione. Se un iscritto chiede la cancellazione, scolleghiamo anche le persone che aveva invitato. I dati dei partner restano per la durata della collaborazione e per [DA COMPLETARE] dopo.

2.4 Email promozionali

• Dati: email, nome (se lo hai indicato), storico delle email inviate.
• Perché: inviarti offerte, novità sui prodotti e promozioni WaterHero.
• Base giuridica: il tuo consenso, dato con una casella separata e facoltativa (art. 6, par. 1, lett. a, GDPR; art. 130 del Codice privacy italiano, D.Lgs. 196/2003). La casella si trova nel modulo della lista d'attesa, nel checkout e nella registrazione dell'account.
• Obbligatorio? No. Se non dai il consenso, puoi comunque iscriverti alla lista e comprare.
• Revoca: in ogni momento, dal link presente in ogni email o scrivendoci. La revoca non rende illecito quello che è stato fatto prima.
• Conservazione: fino alla revoca. [DA COMPLETARE: proposta di verificare il consenso dopo 24 mesi senza alcuna interazione.]

2.5 Messaggi WhatsApp o SMS

• Dati: numero di cellulare e consenso specifico.
• Base giuridica: consenso specifico e facoltativo (art. 6, par. 1, lett. a, GDPR; art. 130 Codice privacy).
• Come: oggi il sito registra solo il numero e il consenso. L'invio avverrà tramite [DA COMPLETARE: fornitore del servizio WhatsApp/SMS, ruolo e Paese]. Puoi smettere di ricevere messaggi rispondendo STOP o disiscrivendoti.
• Conservazione: fino alla revoca o alla disiscrizione dalla lista.

2.6 Ordini, pagamento e consegna

• Dati: nome e cognome, email, telefono, indirizzo di spedizione, prodotti acquistati, importi, codice sconto usato, metodo di pagamento, note che scrivi nell'ordine, stato della spedizione e numero di tracking.
• Pagamento con carta: avviene sulla pagina di Stripe. I dati della carta non passano dal nostro server. Riceviamo da Stripe solo l'esito del pagamento e un riferimento.
• Bonifico: riceviamo dalla banca i dati del bonifico (nome di chi paga, importo, causale).
• Contrassegno: il corriere incassa alla consegna e ci comunica l'esito.
• Perché: concludere ed eseguire il contratto di vendita, spedire, gestire resi, rimborsi, garanzia e assistenza; mandarti le email di servizio (conferma, pagamento, spedizione).
• Base giuridica: esecuzione del contratto e misure precontrattuali (art. 6, par. 1, lett. b, GDPR).
• Obbligatorio? Sì: senza questi dati non possiamo evadere l'ordine.
• Conservazione: i dati per gestire l'ordine fino a 26 mesi dalla consegna (il tempo in cui puoi far valere la garanzia legale, art. 133 Codice del consumo). Dopo, conserviamo solo i dati necessari agli obblighi fiscali (vedi 2.8).

2.7 Account cliente

• Dati: email, nome, password (salvata solo in forma cifrata con un algoritmo irreversibile), telefono e ultimo indirizzo usato, preferenza sulle email promozionali.
• Perché: farti accedere ai tuoi ordini e ricordare i tuoi dati di spedizione.
• Base giuridica: esecuzione del contratto di servizio che chiedi creando l'account (art. 6, par. 1, lett. b).
• Obbligatorio? No: puoi comprare anche senza account.
• Conservazione: fino a quando chiudi l'account. [DA COMPLETARE: proposta di chiudere gli account inattivi da 24 mesi, dopo un avviso via email.]

2.8 Obblighi fiscali e contabili

• Dati: dati dell'ordine, del pagamento e del documento fiscale.
• Base giuridica: obbligo di legge (art. 6, par. 1, lett. c, GDPR).
• Conservazione: per il tempo previsto dalle norme fiscali e contabili applicabili: [DA COMPLETARE: termine della legge sammarinese; per l'Italia il riferimento è 10 anni, art. 2220 codice civile].

2.9 Richieste di contatto e assistenza

• Dati: nome, email, argomento, numero d'ordine (se lo indichi), testo del messaggio.
• Perché: risponderti.
• Base giuridica: misure richieste da te o esecuzione del contratto, se riguarda un ordine (art. 6, par. 1, lett. b); negli altri casi, legittimo interesse a rispondere (art. 6, par. 1, lett. f).
• Obbligatorio? Nome, email e messaggio sì; gli altri campi no.
• Conservazione: [DA COMPLETARE: proposta 12 mesi dalla chiusura della richiesta], salvo che servano per un ordine o una contestazione.

2.10 Sconto studenti

• Dati: nome, email (anche quella dell'università), università o scuola, corso (facoltativo), dichiarazione di avere almeno 18 anni, codice sconto assegnato.
• Perché: verificare che tu sia uno studente e darti un codice sconto personale.
• Come: se l'email appartiene a un dominio universitario riconosciuto (per esempio studenti., .edu, istruzione.it), il sistema approva la richiesta in automatico e ti mostra subito il codice. Negli altri casi una persona del nostro team esamina la richiesta. Questo controllo automatico non produce effetti giuridici e non ti esclude: se il tuo dominio non è nella lista, la richiesta passa a un operatore.
• Base giuridica: misure precontrattuali richieste da te (art. 6, par. 1, lett. b).
• Obbligatorio? Sì, per ricevere lo sconto. Il programma è riservato ai maggiorenni.
• Conservazione: per la durata del codice e per [DA COMPLETARE: proposta 12 mesi] dopo; le richieste rifiutate per [DA COMPLETARE: proposta 6 mesi].

2.11 Programma Ambassador

• Dati della candidatura: nome, email, scuola o università, città, profilo social, numero di follower (facoltativo), motivazione, dichiarazione di avere almeno 18 anni, consenso a comparire sul sito.
• Dati della collaborazione: codice sconto personale, ordini fatti con il tuo codice (solo numero, importo e stato: mai i dati di chi compra), commissioni maturate (oggi il 30% del netto degli ordini non annullati), dati per pagarti [DA COMPLETARE: dati fiscali e bancari richiesti e come vengono raccolti].
• Profilo pubblico: se hai dato il consenso, pubblichiamo nella pagina Ambassador il tuo nome e l'iniziale del cognome, scuola o community, città, una tua frase, il prodotto che sponsorizzi e il tuo codice. Mai email o profilo social.
• Perché: valutare la candidatura, gestire la collaborazione, calcolare e pagare le commissioni, mostrare gli Ambassador sul sito.
• Base giuridica: misure precontrattuali ed esecuzione del contratto di collaborazione (art. 6, par. 1, lett. b); obblighi fiscali (art. 6, par. 1, lett. c); per il profilo pubblico, il tuo consenso (art. 6, par. 1, lett. a), che puoi revocare in ogni momento.
• Obbligatorio? Sì per candidarti, tranne follower e consenso al profilo pubblico. Il programma è riservato ai maggiorenni.
• Conservazione: candidature non accolte per [DA COMPLETARE: proposta 6 mesi]; dati della collaborazione per la sua durata e poi per i tempi fiscali (vedi 2.8); profilo pubblico fino alla revoca del consenso o alla fine della collaborazione.

2.12 Gioco «Gioca e vinci»

• Per giocare: non chiediamo nome, email o account. I giochi sono due, «Pioggia di Poteri» e «Tris di Poteri». La Ruota dei Poteri a inizio partita assegna solo vantaggi di gioco e non passa dal nostro server.
• Per salvare i lingotti: se superi il livello del premio e vuoi i lingotti, ci dai la tua email. Il nostro server crea un codice sconto personale, valido solo con quell'email, lo registra con gioco, livelli superati, punteggio, durata, sfida e origine (sito o annuncio) e te lo manda per email. Se non hai già un profilo cliente, ne creiamo uno con la sola email e senza password: se un giorno crei un account con la stessa email, ritrovi lì i lingotti. Il codice viene salvato anche nel tuo browser per inserirlo nel carrello.
• Rimandare i lingotti: se ce lo chiedi, rimandiamo all'email indicata i lingotti ancora validi. Rispondiamo sempre allo stesso modo, così nessuno può scoprire se un'email ha giocato.
• Novità WaterHero: solo se spunti la casella facoltativa (non è spuntata), usiamo l'email per mandarti le novità. Puoi revocare il consenso in ogni momento, da ogni email o scrivendoci.
• Indirizzo IP ed email per i limiti: li usiamo solo in memoria per limitare i premi a 3 ogni 24 ore per indirizzo e per email e prevenire abusi. L'IP non lo salviamo nel database.
• Base giuridica: per creare e mandarti i lingotti, esecuzione di un contratto o di misure su tua richiesta (art. 6, par. 1, lett. b); per prevenire abusi, legittimo interesse (art. 6, par. 1, lett. f); per le novità, il tuo consenso (art. 6, par. 1, lett. a).
• Conferimento: l'email serve solo per salvare i lingotti. Senza email puoi giocare lo stesso, ma non ricevi il premio.
• Conservazione: il dato in memoria si cancella entro 24 ore; il codice fino alla scadenza (30 giorni) e poi per [DA COMPLETARE: proposta 12 mesi] per i controlli sulle promozioni; il profilo con la sola email per [DA COMPLETARE: proposta 24 mesi dall'ultimo utilizzo] o finché non chiedi di cancellarlo; il consenso alle novità fino alla revoca.

2.13 Prevenzione delle frodi e tutela dei diritti

• Dati: i dati degli ordini, dei codici sconto e delle iscrizioni, quando servono a individuare abusi (iscrizioni fittizie, uso scorretto dei codici, pagamenti contestati) o a difendere un nostro diritto.
• Base giuridica: legittimo interesse (art. 6, par. 1, lett. f).
• Conservazione: per il tempo necessario e, in caso di contestazione, fino alla sua chiusura definitiva.

2.14 Archivio delle email inviate

Il sistema conserva una copia delle email di servizio e della lista che ti inviamo (destinatario, oggetto, testo, esito). Serve a dimostrare cosa ti abbiamo comunicato e a darti assistenza.

• Base giuridica: legittimo interesse e, per gli ordini, esecuzione del contratto.
• Conservazione: [DA COMPLETARE: proposta 24 mesi; per le email d'ordine, come l'ordine].

3. A chi comunichiamo i dati

Non vendiamo i tuoi dati. Li comunichiamo solo a chi ci aiuta a fornire il servizio, nella misura necessaria.

Responsabili del trattamento (art. 28 GDPR), che trattano i dati per nostro conto e secondo le nostre istruzioni:

Altri destinatari:

• Stripe [DA COMPLETARE: entità contraente], per i pagamenti con carta.
• Corrieri [DA COMPLETARE: nome del corriere o dei corrieri], per la consegna: nome, indirizzo, telefono, email ed eventuale importo del contrassegno. [DA COMPLETARE: ruolo, responsabile o titolare autonomo, secondo il contratto.]
• Banca [DA COMPLETARE], per incassi e rimborsi.
• Consulente fiscale o commercialista [DA COMPLETARE], per gli adempimenti contabili.
• Autorità pubbliche, quando la legge lo richiede.
• Il pubblico, solo per il profilo degli Ambassador che hanno dato il consenso.

I partner vedono solo numeri aggregati. Gli Ambassador vedono solo i numeri dei propri ordini, mai i dati dei clienti.

4. Trasferimenti fuori dall'Unione europea

• Verso San Marino: siamo una società sammarinese. Quando ci dai i tuoi dati, li raccogliamo direttamente noi: secondo il Comitato europeo per la protezione dei dati (Linee guida 05/2021) questa raccolta diretta non è un «trasferimento» ai sensi del Capo V del GDPR. Il GDPR resta comunque applicabile al nostro trattamento.
• Verso altri Paesi: alcuni fornitori (per esempio Cloudflare e Stripe) possono trattare dati negli Stati Uniti o in altri Paesi. In questi casi usiamo le garanzie previste dal GDPR: decisione di adeguatezza UE-USA (Data Privacy Framework) per i fornitori certificati, oppure clausole contrattuali standard approvate dalla Commissione europea. [DA COMPLETARE: per ogni fornitore, base del trasferimento e certificazione DPF verificata sull'elenco ufficiale.]
• Puoi chiederci copia delle garanzie scrivendo all'indirizzo privacy.

5. I tuoi diritti

Puoi chiederci in ogni momento:

• accesso: sapere quali dati abbiamo e averne copia (art. 15 GDPR);
• rettifica dei dati sbagliati o incompleti (art. 16);
• cancellazione (art. 17), salvo i dati che dobbiamo tenere per legge;
• limitazione del trattamento (art. 18);
• portabilità: ricevere i dati che ci hai dato in un formato leggibile da un computer (art. 20);
• opposizione ai trattamenti basati sul legittimo interesse (art. 21). Ti puoi opporre sempre, senza motivare, alle email promozionali.
• revoca del consenso, in ogni momento, senza conseguenze su quanto fatto prima (art. 7, par. 3).

Come fare: scrivi a [DA COMPLETARE: email privacy]. Per la lista d'attesa puoi anche usare il link presente in ogni email. Ti rispondiamo entro un mese (art. 12 GDPR). Per proteggerti potremmo chiederti di confermare la tua identità.

Reclamo: se pensi che il trattamento violi la legge, puoi presentare reclamo a un'autorità di controllo, in particolare quella del Paese in cui vivi o lavori o in cui è avvenuta la violazione:

• in Italia: Garante per la protezione dei dati personali, www.garanteprivacy.it;
• a San Marino: Autorità Garante per la protezione dei dati personali [DA VERIFICARE: indirizzo e sito ufficiale; una fonte istituzionale sammarinese riporta Scala Bonetti 2, 47890 San Marino, [email protected]];
• negli altri Stati UE: l'autorità nazionale del tuo Paese.

6. Minori

• Linea Kids: i prodotti Kids sono pensati per i bambini, ma li acquistano gli adulti. Gli ordini sono riservati ai maggiorenni. Non chiediamo dati sui bambini.
• Lista d'attesa: è riservata a chi ha almeno 18 anni o al genitore che iscrive. Il genitore iscrive sé stesso: non raccogliamo dati del figlio.
• Sconto studenti e Ambassador: sono riservati ai maggiorenni. Chi si candida dichiara di avere almeno 18 anni.
• Gioco: per giocare non raccogliamo dati personali. Salvare i lingotti con l'email è riservato ai maggiorenni, come gli ordini.
• Se scopriamo di aver ricevuto dati di un minore senza il consenso di chi esercita la responsabilità genitoriale, li cancelliamo. Se pensi che sia successo, scrivici.

7. Decisioni automatizzate

Non prendiamo decisioni basate solo su un trattamento automatizzato che producano effetti giuridici o effetti simili significativi su di te (art. 22 GDPR). L'approvazione automatica dello sconto studenti è descritta al punto 2.10: se non scatta, decide una persona.

8. Cookie e memoria del browser

Il sito usa solo strumenti tecnici: un cookie di sessione per l'area cliente e la memoria del browser per il carrello, il codice sconto e poche altre funzioni. Non usiamo cookie di profilazione, strumenti di analisi di terze parti o pixel pubblicitari. Il dettaglio è nella sezione «Cookie e memoria del browser» qui sotto.

In breve

Il sito WaterHero usa solo strumenti tecnici: servono a far funzionare il carrello, l'area cliente, il codice sconto e la lista d'attesa.
Non usiamo cookie di profilazione, pixel pubblicitari, strumenti di analisi di terze parti o contenuti incorporati da altri siti (video, mappe, social).
Per questo non ti mostriamo un banner per il consenso: la legge non lo richiede quando un sito usa solo strumenti tecnici.

Che cosa salviamo sul tuo dispositivo

Cookie

Memoria del browser (localStorage e sessionStorage)
Sono piccoli archivi nel tuo browser. A differenza dei cookie, non vengono inviati al server a ogni pagina: li legge solo il nostro sito, quando servono.

Nessuno di questi elementi contiene un codice che identifica te o il tuo dispositivo.

Come cancellarli

Puoi cancellare cookie e memoria del browser dalle impostazioni del tuo browser, alla voce «dati dei siti» o «cookie e dati dei siti». Se li cancelli, il carrello si svuota e devi accedere di nuovo all'area cliente.

Se cambia qualcosa

Se in futuro useremo strumenti diversi da quelli tecnici (per esempio statistiche di terze parti o pubblicità), ti chiederemo prima il consenso con un banner e aggiorneremo questa pagina.

9. Sicurezza

Proteggiamo i dati con misure tecniche e organizzative adeguate: connessione cifrata (HTTPS), password salvate solo in forma cifrata, accesso al gestionale con password e codice a tempo (TOTP), registri che non contengono dati personali, accesso limitato al personale autorizzato.

10. Modifiche

Possiamo aggiornare questa informativa. Pubblichiamo sempre la versione aggiornata su questa pagina, con la data. Se le modifiche cambiano in modo rilevante i trattamenti basati sul tuo consenso, te lo comunichiamo prima.