- L’ordine e i dati di consegna
- Nome, telefono, indirizzo completo, piano, codice del citofono, note per il courier. La base è l’esecuzione del contratto o le misure prese su richiesta della persona prima del contratto, quindi la parte giuridica è semplice. La parte difficile è il principio di minimizzazione: i dati devono essere adeguati, pertinenti e limitati a quanto necessario rispetto alla finalità. Il codice del citofono ha una finalità che si esaurisce il giorno della consegna; il numero dell’ordine ha una finalità che dura più a lungo. Una tabella unica, in cui tutti i campi hanno la stessa durata di vita, tratta i due allo stesso modo perché nessuno li ha separati, non perché la legge lo richieda.Conservazione: Determinata dallo scopo, con termini previsti per categorie che rientrano espressamente nel registro delle attività di trattamento. Il termine concreto imposto dagli obblighi contabili e di archiviazione per i documenti che accompagnano l’ordine resta non verificato in questo dossier — non siamo riusciti ad aprire i testi rispettivi nel giorno della verifica.FonteLegge 195/2024, art. 6 para. (1) lett. b), art. 5 para. (1) lett. c) e e), art. 30 para. (1) lett. c) e f)
- L’account del cliente e la cronologia degli ordini
- I dati di autenticazione, gli indirizzi salvati, l’elenco degli ordini precedenti. È l’insieme che consente di ripetere un ordine e, allo stesso tempo, alimenta le raccomandazioni. La distinzione che conta: la conservazione della cronologia affinché il rispettivo cliente possa consultarla è una continuazione del rapporto con lui; l’uso della stessa cronologia per valutare preferenze, comportamento o situazione economica è creazione di profili ai sensi della legge, quindi un altro scopo, con la propria informativa. La compatibilità di un nuovo scopo si valuta secondo criteri espliciti, tra cui il legame con lo scopo iniziale, il contesto del rapporto e le possibili conseguenze sulla persona.Conservazione: Per tutto il tempo in cui l’account è attivo e finché lo richiede il rapporto contrattuale. I criteri per determinare il periodo devono essere comunicati alla persona al momento della raccolta, se il periodo esatto non può essere indicato.FonteLegge 195/2024, art. 4 (definizione di «creazione di profili»), art. 6 para. (5), art. 13 para. (2) lett. a), art. 5 para. (1) lett. b)
- Carrello abbandonato
- Un indirizzo e-mail o un numero di telefono, i prodotti selezionati, il momento dell’interruzione, a volte un identificatore di sessione che collega la riga alle visite successive. Non è un ordine e non è un account; è un trattamento autonomo, con un proprio scopo, che deve essere descritto nel registro con il suo scopo reale. Quando la base è il legittimo interesse, l’informativa al momento della raccolta deve indicare quali siano gli interessi legittimi perseguiti — cioè il negozio è obbligato a scrivere, in parole, perché conserva l’indirizzo di una persona che non ha comprato.Conservazione: Breve ed esplicita, per natura dello scopo: il recupero di un’intenzione di acquisto ha una finestra di giorni, non di anni. Il termine si decide e si scrive; il diritto di opposizione lo può chiudere in qualsiasi momento, e da quel momento i dati non vengono più trattati per tale scopo.FonteLegge 195/2024, art. 6 para. (1) lett. f), art. 13 para. (1) lett. c) e d), art. 21 para. (1)–(3), art. 30 para. (1) lett. b) e f)
- Gli identificatori online e le etichette di tracciamento
- Cookie, identificatori del dispositivo, pixel di remarketing, liste di pubblico sincronizzate con le piattaforme pubblicitarie. La definizione di legge include espressamente l’identificatore online tra gli elementi attraverso i quali una persona diventa identificabile, quindi la discussione „non sono dati personali, sono solo cookie” si chiude a livello di definizione. Ciò che si aggiunge: ogni piattaforma verso cui parte la lista è un destinatario, e i destinatari o le categorie di destinatari vengono comunicati alla persona al momento della raccolta, insieme all’intenzione di trasferimento verso un altro Stato e alle garanzie su cui si fonda il trasferimento.Conservazione: Determinata dallo scopo di marketing dichiarato e limitata dalla revoca del consenso, che deve essere altrettanto semplice quanto il suo conferimento. Le categorie di destinatari e i trasferimenti rientrano nel registro delle attività di trattamento.FonteLegge 195/2024, art. 4 (definizione di «dati personali»), art. 7 para. (3), art. 13 para. (1) lett. e) e f), art. 30 para. (1) lett. d) e e); Legge 284/2004, art. 10 para. (2) lett. f)
- Il filo della conversazione con il cliente
- I messaggi con cui si negozia la taglia, si invia la foto del prodotto difettoso, si detta l’indirizzo, si spiega per chi è il regalo. Il contenuto è in gran parte lo stesso dell’ordine, ma con una differenza importante: è un campo libero, e in un campo libero finiscono dati che nessuno ha richiesto, inclusi, occasionalmente, motivi di salute per un reso. Il luogo non è quello del negozio, è l’infrastruttura di un fornitore di canale, spesso in un altro Stato — quindi il fornitore è un incaricato e richiede un contratto scritto con oggetto, durata, natura, finalità, tipo di dati e categorie di interessati, e il luogo di archiviazione rientra nel regime dei trasferimenti.Conservazione: In pratica indefinita, perché i thread restano nell’applicazione. Proprio per questo il termine deve essere deciso esplicitamente e scritto nel registro, non lasciato al comportamento implicito dell’applicazione.FonteLegea 195/2024, art. 28 alin. (3), art. 44 alin. (2), art. 9 alin. (1), art. 30 alin. (1) lit. f)
- Il dossier di revoca e di restituzione
- La dichiarazione di revoca o il modulo standard compilato, la conferma di ricezione trasmessa su supporto durevole, la prova della spedizione del bene e, talvolta, un conto bancario per il rimborso quando il pagamento iniziale non può essere annullato. La legge richiede che il rimborso avvenga nella stessa valuta e utilizzando gli stessi mezzi di pagamento usati dal consumatore, salvo che questi abbia espresso il proprio consenso esplicito per un altro mezzo — quindi un IBAN raccolto implicitamente, senza tale consenso, è una raccolta non necessaria. L’onere della prova relativo all’esercizio del diritto di revoca incombe al consumatore, il che fa della conferma di ricezione non solo una cortesia, ma un elemento del dossier.Conservazione: In relazione al periodo in cui gli obblighi reciproci della revoca possono essere contestati. Il trattamento necessario per l’accertamento, l’esercizio o la difesa di un diritto in un procedimento è un limite espresso del diritto alla cancellazione, quindi il termine si giustifica con tale scopo, non con l’abitudine.FonteCodul civil nr. 1107/2002, art. 1057 alin. (2), art. 1054 alin. (4), art. 1062 alin. (2); Legea 195/2024, art. 5 alin. (1) lit. c), art. 17 alin. (3) lit. e)