Informativa sulla privacy
Ultimo aggiornamento: 23 ottobre 2026
La presente informativa spiega quali dati personali tratta DPP Host, per quali finalità e per quanto tempo, quando visitate dpphost.eu, aprite il passaporto di un prodotto su id.dpphost.eu, ci scrivete, usate la dashboard su app.dpphost.eu, l’API o il server MCP, oppure rispondete a una richiesta ai fornitori su forms.dpphost.eu. Per una parte di questi dati il titolare del trattamento è il marchio che utilizza DPP Host, e noi li trattiamo per suo conto; le sezioni seguenti indicano in quali casi.
Titolare del trattamento
Il titolare del trattamento è Qubites ApS, Ulsøparken 49, 2. 2660 Brøndby Strand, Danimarca (CVR 37061026), che gestisce DPP Host. Per i vostri dati personali scriveteci a privacy@dpphost.eu; per qualsiasi altra questione, a hello@dpphost.eu.
Quando il titolare del trattamento è un marchio
I marchi, cioè le imprese che utilizzano DPP Host, se ne servono per pubblicare passaporti di prodotto, chiedere ai propri fornitori dati sui prodotti e, con Premium, offrire servizi ai proprietari dei loro prodotti. Per i dati personali trattati in queste attività, il marchio è il titolare del trattamento e DPP Host è il suo responsabile del trattamento: si tratta di ciò che il marchio inserisce nei propri passaporti e nelle proprie pagine, dei recapiti e delle risposte dei suoi fornitori e dei dati dei suoi servizi per i proprietari. Usiamo questi dati solo secondo le istruzioni del marchio. Le domande su questi dati e le richieste di accesso, rettifica o cancellazione vanno rivolte al marchio. Se le inviate a noi, le inoltriamo al marchio.
Dati tecnici
Quando aprite uno qualsiasi dei nostri siti o usate l’API, Cloudflare, che li distribuisce, tratta il vostro indirizzo IP e i dati tecnici di ogni richiesta, come l’indirizzo richiesto, l’ora e il vostro browser, per fornire il servizio e proteggerlo dagli abusi. Le richieste che raggiungono il nostro database vengono inoltre registrate da Supabase. L’API, il server MCP e i moduli per i fornitori limitano il numero di richieste che un indirizzo IP può effettuare in un minuto; Cloudflare tiene questo conteggio solo per il minuto in corso e noi non memorizziamo l’indirizzo. Cloudflare e Supabase cancellano questi log dopo un breve periodo. La base giuridica è il nostro legittimo interesse a gestire un servizio sicuro (art. 6, par. 1, lett. f), del GDPR).
Nelle pagine della dashboard in cui accedete, create un account o reimpostate una password, compreso l’accesso ai servizi per i proprietari offerti da un marchio, e quando accedete di nuovo prima di un’azione delicata, Cloudflare Turnstile verifica che la richiesta provenga da una persona e non da un programma automatizzato; la maggior parte delle persone non si accorge di questa verifica. A tal fine Cloudflare, in qualità di nostro responsabile del trattamento, tratta il vostro indirizzo IP e segnali tecnici provenienti dal vostro browser e dal vostro dispositivo. La base giuridica è il nostro legittimo interesse a proteggere gli account e gli accessi da abusi automatizzati (art. 6, par. 1, lett. f), del GDPR). La stessa verifica protegge il modulo per scrivere al proprietario di un prodotto che avete trovato.
Passaporti di prodotto
Ogni passaporto di prodotto su id.dpphost.eu è pubblicato dal marchio responsabile del prodotto, che decide che cosa mostrare. Ogni nuova versione di un passaporto mostra inoltre la denominazione legale verificata del marchio, il suo paese e, per una società, il suo numero di partita IVA o di registrazione verificato. Per una ditta individuale, la denominazione legale è il nome dell’imprenditore. Quando un passaporto mostra dati personali, il titolare del trattamento è il marchio e noi li pubblichiamo per suo conto. I passaporti pubblicati restano online per il periodo richiesto dalle norme UE, che può essere di molti anni. Per far rimuovere dati personali da un passaporto, contattate il marchio indicato nel passaporto oppure noi. Per aprire un passaporto non serve alcun account. Contiamo quante volte vengono aperti i passaporti, senza dati personali: per giorno, prodotto (senza numero di serie), lingua, paese e a seconda che sia stata aperta la versione attuale o una precedente. Non registriamo indirizzi IP, dati del browser, cookie né la pagina di provenienza. I marchi con Premium possono vedere questi totali giornalieri per i propri prodotti. Cloudflare conserva i conteggi per 3 mesi; il nostro database conserva i totali giornalieri per 25 mesi.
Se un marchio mostra un video di YouTube o di Vimeo nella pagina del suo passaporto, la pagina mostra prima un’immagine fissa fornita dai nostri server e nulla viene caricato da YouTube o Vimeo finché non premete play. A quel punto il video viene riprodotto da YouTube (Google) in modalità di privacy avanzata o da Vimeo con l’impostazione «Do Not Track», e quel fornitore riceve il vostro indirizzo IP e informazioni sul vostro browser e può memorizzare informazioni nel vostro browser, secondo le proprie condizioni sulla privacy. I link presenti nella pagina di un passaporto, ad esempio verso documenti o la verifica di un certificato, aprono altri siti solo quando li cliccate.
Se ci scrivete
Se ci scrivete a hello@dpphost.eu o a privacy@dpphost.eu, ad esempio per inviare documenti per una verifica dell’impresa, trattiamo il vostro indirizzo email, il vostro nome e quanto ci scrivete, per rispondervi e dare seguito alla richiesta. La base giuridica è il nostro legittimo interesse a rispondere a chi ci contatta (art. 6, par. 1, lett. f), del GDPR) e, per le richieste relative ai vostri diritti, il nostro obbligo legale di rispondere (art. 6, par. 1, lett. c), del GDPR). Conserviamo queste email per il tempo necessario a rispondervi e a dare seguito alla richiesta, e al massimo per 2 anni dall’ultimo scambio.
Se vi iscrivete agli avvisi sulle norme UE
Se vi iscrivete su dpphost.eu agli avvisi sulle norme UE relative ai prodotti, conserviamo il vostro indirizzo email, l’indirizzo web dell’azienda o del prodotto che indicate, la lingua della pagina e il momento in cui vi siete iscritti e avete confermato. Inviamo prima un’email di conferma, e gli avvisi solo dopo la vostra conferma: quando viene fissata la data di una norma sul passaporto per prodotti come i vostri, e di nuovo prima che si applichi; mai pubblicità. Ogni email contiene un link per disattivare gli avvisi. La base giuridica è il vostro consenso (art. 6, par. 1, lett. a), del GDPR), che potete revocare con quel link. Un indirizzo non confermato entro 7 giorni viene cancellato, e i dati della vostra iscrizione vengono cancellati 30 giorni dopo la disattivazione degli avvisi. La nostra traccia di ogni email che vi inviamo viene cancellata dopo 30 giorni. Per limitare gli abusi del modulo, conserviamo nei nostri contatori un hash con chiave del vostro indirizzo IP per non più di un giorno, mai l’indirizzo stesso.
Account nella dashboard
Quando create un account su app.dpphost.eu, trattiamo il vostro nome, il vostro indirizzo email, una password sottoposta a hashing sicuro se ne impostate una, la vostra lingua, le organizzazioni di cui fate parte con il vostro ruolo in ciascuna e un registro delle azioni che vi svolgete. Supabase, che gestisce il nostro sistema di accesso, registra inoltre le vostre sessioni e i vostri accessi con il vostro indirizzo IP e il vostro browser. Questi dati ci servono per fornire il servizio sottoscritto da voi o dalla vostra organizzazione (art. 6, par. 1, lett. b), del GDPR); senza un nome e un indirizzo email non potete avere un account. Restate connessi al massimo per 90 giorni, e al massimo per 30 giorni in caso di inutilizzo. Conserviamo il vostro account finché non lo eliminate dalla pagina Account o non ci chiedete di eliminarlo. L’eliminazione rimuove subito la vostra appartenenza alle organizzazioni, i vostri dati di accesso e il registro dei vostri accessi; le voci dei registri delle azioni delle vostre organizzazioni relative a ciò che vi avete fatto restano, con un identificativo che non riconduce più al vostro account. Prima di poter eliminare l’account, nominate proprietario un altro membro di ogni organizzazione di cui siete l’unico proprietario e che ha altri membri, scriveteci per chiudere ogni organizzazione di cui siete l’unico membro ed eliminate ogni account proprietario che avete presso un marchio. Il registro delle azioni di un’organizzazione è conservato finché restano disponibili i passaporti da essa pubblicati, perché documenta chi li ha pubblicati e modificati.
Potete accedere anche con Google, Apple o Microsoft. In tal caso il fornitore conferma la vostra identità secondo le proprie condizioni sulla privacy e, su vostra richiesta, ci comunica il vostro indirizzo email, il vostro identificativo utente presso quel fornitore e, se li include, il vostro nome e altri dati di base del profilo. Li conserviamo con il vostro account perché possiate accedere di nuovo nello stesso modo, e il fornitore viene a sapere che accedete a DPP Host. Non riceviamo mai la password del vostro account presso quel fornitore. Se scegliete la funzione «Nascondi la mia email» di Apple, riceviamo un indirizzo presso Apple che vi inoltra le nostre email. Se attivate l’accesso in due passaggi, un segreto per la vostra app di autenticazione viene conservato con il vostro account (presso Supabase, a Francoforte) e i momenti in cui lo usate vengono registrati; potete disattivarlo nella pagina Account. La base giuridica di entrambi è il contratto con voi o con la vostra organizzazione (art. 6, par. 1, lett. b), del GDPR).
Organizzazioni, verifiche dell’impresa e GTIN
Un’organizzazione deve superare una verifica dell’impresa prima di poter pubblicare passaporti. Un numero di partita IVA dell’UE viene verificato automaticamente nel sistema di scambio di informazioni sull’IVA dell’UE (VIES), che la Commissione europea gestisce insieme alle amministrazioni fiscali nazionali e che può restituire la denominazione e l’indirizzo registrati; se il VIES non conferma il numero, la verifica viene respinta e l’organizzazione può avviare una nuova verifica, che il nostro personale svolge manualmente. Il nostro personale consulta manualmente altri registri, come il registro danese delle imprese (CVR). Se nessun registro può confermare l’impresa, ad esempio per molte ditte individuali e per imprese con sede fuori dall’UE, il nostro personale chiede via email documenti come un estratto del registro delle imprese o una licenza commerciale, e cancella quell’email non appena sulla verifica è stata presa una decisione. Conserviamo il paese, il numero, la denominazione legale e, se un registro lo fornisce, l’indirizzo, l’eventuale nota aggiunta dall’organizzazione, l’esito e chi ha presentato la richiesta e chi ha deciso. Il nostro personale controlla inoltre la denominazione legale negli elenchi delle sanzioni dell’UE. Per una ditta individuale, questi dati sono dati personali. Li usiamo per consentire la pubblicazione solo a imprese reali, per consentire a ogni impresa una sola organizzazione verificata, per mostrare i dati verificati nei suoi passaporti (si veda «Passaporti di prodotto»; un numero verificato con la procedura per le ditte individuali non viene mai mostrato) e per mantenere affidabili i passaporti. Le basi giuridiche sono il contratto con la vostra organizzazione (art. 6, par. 1, lett. b), del GDPR), il nostro legittimo interesse a prevenire gli abusi (art. 6, par. 1, lett. f), del GDPR) e, per il controllo delle sanzioni, il nostro obbligo legale (art. 6, par. 1, lett. c), del GDPR). Conserviamo questi dati finché l’organizzazione esiste su DPP Host, perché documentano per quale motivo le è stato consentito di pubblicare.
Per pubblicare passaporti per un GTIN (un numero di codice a barre), un’organizzazione deve rivendicarlo oppure avere il permesso dell’organizzazione che detiene la rivendicazione. Una rivendicazione è accompagnata da una prova, come il nome del licenziatario GS1, una prova sul dominio web dell’organizzazione o un indirizzo GS1 Digital Link, che il nostro personale verifica manualmente. Conserviamo la rivendicazione, il nome del licenziatario, la prova, eventuali note o contestazioni, e chi ha presentato la richiesta e chi ha deciso. Questi dati sono dati personali solo quando indicano una persona, come il titolare di una ditta individuale. Li conserviamo finché l’organizzazione esiste, per gli stessi motivi e sulle stesse basi giuridiche della verifica dell’impresa. Per dimostrare di controllare un dominio web, un’organizzazione aggiunge un codice ai record DNS del dominio, che consultiamo tramite Cloudflare.
Team, inviti e partner
I membri di un’organizzazione vedono i nomi, gli indirizzi email e i ruoli degli altri membri, da quando ne fanno parte e se usano l’accesso in due passaggi; gli amministratori vedono inoltre il registro delle azioni dell’organizzazione. Un amministratore invita una persona creando un link e condividendolo; non inviamo email di invito. Conserviamo l’indirizzo email invitato, con l’organizzazione e il ruolo, finché l’invito non viene accettato; se non viene accettato, lo cancelliamo entro 30 giorni dalla scadenza o dalla revoca dell’invito. La base giuridica è il legittimo interesse dell’organizzazione che invita ad aggiungere i membri del proprio team (art. 6, par. 1, lett. f), del GDPR). Un’organizzazione può anche consentire a un’altra impresa, ad esempio un’agenzia, di lavorare al suo interno come partner. Il personale del partner vede allora ciò che vedono i membri con lo stesso ruolo, i membri dell’organizzazione vedono i loro nomi e indirizzi email e il registro delle azioni tiene traccia di ciò che fanno. Conserviamo la traccia di quale partner è stato collegato, da chi e quando, insieme ai dati dell’organizzazione, per lo stesso periodo del suo registro delle azioni. La base giuridica è il contratto con la vostra organizzazione (art. 6, par. 1, lett. b), del GDPR). Un partner può anche preparare un’organizzazione per un marchio che non ha ancora aderito e inserire l’indirizzo email di un referente di quel marchio, al quale inviamo le richieste del partner di approvare dei passaporti. Conserviamo questo indirizzo e la lingua delle relative email finché il referente non prende in carico l’organizzazione; se non lo fa mai, li cancelliamo entrambi 90 giorni dopo l’inserimento dell’indirizzo o la scadenza dell’ultima richiesta, a seconda di quale data sia successiva. Il personale del partner che invia lì le richieste vede l’indirizzo. Ogni richiesta resta tra i dati dell’organizzazione: chi ha inviato quali passaporti e quando, la decisione del marchio, chi l’ha presa e l’eventuale motivo indicato, dati visibili alle persone del partner che lavorano nell’organizzazione. La base giuridica è il legittimo interesse a consentire a un marchio di approvare i passaporti che un partner ha preparato per esso (art. 6, par. 1, lett. f), del GDPR). Un marchio che usa i servizi per i proprietari può anche invitare via email un negozio a registrare i prodotti del marchio a nome dei clienti del negozio. Conserviamo l’indirizzo invitato e la sua lingua finché l’invito non viene accettato o revocato, altrimenti fino a 29 giorni dopo la sua scadenza; chi apre l’invito vede il nome del marchio e quell’indirizzo. La base giuridica è il legittimo interesse del marchio ad aggiungere i negozi che vendono i suoi prodotti (art. 6, par. 1, lett. f), del GDPR). Quando un negozio accetta, conserviamo quale organizzazione ha accettato quale versione delle Condizioni per i rivenditori, chi le ha accettate e quando, sulla base del contratto con quell’organizzazione (art. 6, par. 1, lett. b), del GDPR). Un marchio può anche collegare un distributore per i paesi che serve; il distributore può quindi invitare via email un negozio per i prodotti del marchio. Conserviamo questo invito come quello di un marchio, insieme al distributore che lo ha inviato; chi lo apre vede anche il nome del distributore, e il marchio vede ogni negozio che un distributore aggiunge. La base giuridica è il legittimo interesse del distributore e del marchio ad aggiungere i negozi che vendono i prodotti del marchio (art. 6, par. 1, lett. f), del GDPR). Quando un’impresa invia prodotti di un marchio a un’altra impresa tramite DPP Host, o segnala come smarriti o rubati prodotti in suo possesso, registriamo quale membro lo ha fatto insieme ai dati delle imprese e del marchio interessati, finché esiste l’organizzazione del marchio o finché l’account di quel membro non viene eliminato, sulla base del contratto con tali organizzazioni (art. 6, par. 1, lett. b), del GDPR). Se un negozio fa inviare dal proprio sistema di fatturazione una copia di ogni fattura al suo indirizzo DPP Host, estraiamo dalla copia i numeri di telaio, il numero e la data della fattura, li conserviamo con i registri di vendita del negozio per 24 mesi ed eliminiamo subito la copia (può contenere il nome e l’indirizzo dell’acquirente; una copia che non riusciamo a leggere viene registrata per 7 giorni senza il suo contenuto), in qualità di responsabile del trattamento per conto del negozio ai sensi delle Condizioni per i rivenditori.
Chiavi API, app di IA e negozi
Quando un amministratore crea una chiave API, conserviamo il suo nome, chi l’ha creata, i suoi permessi e la sua scadenza, i primi caratteri, il momento dell’ultimo utilizzo e un suo hash con chiave; la chiave completa viene mostrata una sola volta e non viene mai conservata. Contiamo le richieste giornaliere di ciascuna organizzazione e conserviamo questi conteggi per 400 giorni. Potete collegare a DPP Host un’app di IA, ad esempio un assistente IA, tramite il nostro server MCP su mcp.dpphost.eu: accedete e la autorizzate a lavorare in una sola organizzazione, per un periodo da voi scelto fino a un massimo di 365 giorni. Conserviamo il collegamento: il vostro identificativo utente, l’organizzazione, il nome e l’indirizzo web dell’app, i permessi, il momento in cui l’avete autorizzata e quanto viene usata ogni giorno; conserviamo l’utilizzo giornaliero per 400 giorni. Il collegamento viene memorizzato anche, in parte cifrato, in Cloudflare Workers KV, che non è limitato all’UE. L’accesso dura 1 ora alla volta, e un collegamento termina inoltre dopo 30 giorni di inutilizzo o quando lo chiudete nella dashboard. Gli amministratori dell’organizzazione vedono chi ha collegato quale app. L’app riceve i dati su passaporti, prodotti e bozze che richiede, nei limiti dei permessi che le avete concesso, mai i dati di membri o proprietari, e il suo fornitore tratta tali dati secondo le proprie condizioni. Un’app di IA non può pubblicare: ogni modifica viene approvata da una persona. Le app che si registrano presso il nostro server MCP ci comunicano il loro nome, il loro indirizzo web e, se lo desiderano, indirizzi di contatto; li conserviamo fino a 90 giorni dopo l’ultimo utilizzo dell’app. Quando un amministratore collega un negozio Shopify o WooCommerce, conserviamo chi l’ha collegato e approvato e l’indirizzo web del negozio, e ne informiamo via email gli amministratori dell’organizzazione; il negozio ci invia solo dati sui prodotti, mai dati su clienti, ordini o visitatori. I dati relativi a chiavi, collegamenti e negozi restano tra i dati dell’organizzazione anche dopo la loro cessazione. La base giuridica è il contratto con la vostra organizzazione (art. 6, par. 1, lett. b), del GDPR).
Nella pagina «Nuovo passaporto» potete trascinare file relativi a un prodotto (file PDF o foto) o incollare il link alla sua pagina. Li inviamo una sola volta ad Anthropic, il cui modello di IA Claude li legge per individuare i valori di cui il passaporto ha bisogno e il punto in cui ciascuno è indicato; le foto vengono inviate senza i dati sulla posizione e sulla fotocamera. Ogni valore resta un suggerimento finché una persona non lo conferma. Quando un amministratore aggiunge a una rivendicazione di GTIN un certificato di licenza GS1 o una fattura della quota associativa GS1, inviamo il documento una sola volta ad Anthropic, nello stesso modo, per leggere i dati dell’impresa che vi sono riportati (chi lo ha emesso, il licenziatario, i prefissi aziendali e le relative date); conserviamo con la rivendicazione solo questi dati, non il file, e li utilizziamo per decidere sulla rivendicazione. Non conserviamo né i file né la pagina: vengono letti in memoria ed eliminati insieme alla richiesta. Conserviamo i valori trovati, ciascuno con il nome del file e una breve citazione che mostra dove è stato trovato, e, per 400 giorni, il conteggio delle letture di ciascuna organizzazione (chi, quando e quanti file, senza il loro contenuto), per rispettare il limite mensile. Anthropic tratta i file negli Stati Uniti o in un altro paese in cui fornisce il proprio servizio, sulla base delle clausole contrattuali tipo dell’UE. Elimina i file e la risposta entro 30 giorni e non li utilizza per addestrare modelli; soltanto i contenuti che i suoi controlli automatici segnalano come contrari alla sua politica di utilizzo possono essere conservati più a lungo, fino a 2 anni. Nella dashboard la Guida, un assistente IA, aiuta gli editor della vostra organizzazione a creare i loro passaporti. Quando scrivete alla Guida, inviamo il vostro messaggio, i messaggi precedenti della conversazione e i dati dell’account della vostra organizzazione che le servono per rispondere (piano, bozze e ciò che manca loro, prezzi e crediti IA) ad Anthropic, il cui modello Claude scrive la risposta; un file che aggiungete nella Guida viene letto come in «Nuovo passaporto». I valori che la Guida suggerisce restano suggerimenti nella bozza finché una persona non li conferma. Conserviamo la conversazione, visibile solo a voi, per 30 giorni dal suo ultimo messaggio, e un conteggio dei messaggi di ciascuna persona (chi, quando e quanti, senza il contenuto) per 400 giorni, per il limite orario e i crediti IA. Anthropic li tratta come descritto sopra, li cancella entro 30 giorni e non li usa per addestrare modelli. A parte questo, DPP Host non applica modelli di IA ai vostri dati. La base giuridica è il contratto con la vostra organizzazione (art. 6, par. 1, lett. b), del GDPR).
Email che inviamo
Inviamo email dall’indirizzo noreply@dpphost.eu tramite Resend, nostro responsabile del trattamento: codici e link di accesso, conferme dell’indirizzo email e reimpostazioni della password, nonché email sull’uso di DPP Host da parte della vostra organizzazione, ad esempio sui pagamenti e sui pagamenti non riusciti, sui cambi di piano, sulle decisioni relative a verifiche dell’impresa e rivendicazioni di GTIN, sui certificati in scadenza, sulle esportazioni pronte, sul promemoria di un’importazione salvata quando lo chiedete, sulle risposte alle richieste ai fornitori, sulle richieste di riparazione dei proprietari, sull’invito di un marchio o di un distributore a un negozio, sul link che un negozio ci chiede di inviare al suo cliente, sulle consegne che un’impresa riceve o che vengono ritirate, sui richiami e sulle avvertenze di sicurezza di un marchio relativi a prodotti in possesso di un’impresa e sui problemi con webhook o collegamenti di negozi. Sono inviate alla persona interessata o, di solito, ai proprietari e agli amministratori dell’organizzazione; quelle su consegne, richiami e avvertenze di sicurezza vengono inviate anche ai suoi editor. Non inviamo newsletter né pubblicità e non rileviamo se aprite le nostre email o se cliccate sui link che contengono. Resend le invia dall’UE (Irlanda) e conserva negli Stati Uniti, per 30 giorni, una copia di ogni email e il relativo registro di invio. Teniamo traccia di ogni email che inviamo, con l’indirizzo del destinatario, per poter dimostrare che cosa è stato inviato ed evitare invii doppi; la traccia delle email inviate a voi viene cancellata insieme al vostro account, le altre sono conservate finché esiste l’organizzazione a cui si riferiscono. La base giuridica è il contratto con voi o con la vostra organizzazione (art. 6, par. 1, lett. b), del GDPR). Non rispondete a queste email; scrivete invece a hello@dpphost.eu. Quando chi ha trovato un prodotto che il proprietario ha segnalato come smarrito o rubato invia un messaggio, avvisiamo il proprietario via email che è arrivato un messaggio, senza riportarne il contenuto. Quando ci chiedete aiuto per un’importazione salvata, conserviamo la vostra richiesta (il vostro messaggio, se ne scrivete uno, i conteggi dell’importazione e chi l’ha fatta) e la inviamo al nostro personale insieme al vostro indirizzo email, per potervi rispondere; i membri della vostra organizzazione vedono che avete chiesto aiuto, e cancelliamo la richiesta 2 anni dopo averla chiusa.
Pagamenti
Quando un’organizzazione paga per DPP Host, il pagamento avviene tramite Stripe. Comunichiamo a Stripe il nome dell’organizzazione, il suo indirizzo email di fatturazione (o l’indirizzo email di chi effettua l’acquisto) e la sua lingua. Stripe raccoglie l’indirizzo di fatturazione, l’eventuale numero di partita IVA, che Stripe verifica, e i dati di pagamento; non riceviamo mai numeri completi di carte o di conti bancari. Stripe calcola l’IVA, emette le fatture e gestisce il portale clienti, in cui gli amministratori vedono le fatture e modificano i dati di pagamento. Conserviamo il riferimento cliente di Stripe, l’indirizzo email di fatturazione, il paese, il numero di partita IVA e il suo stato, nonché le notifiche di Stripe sui pagamenti. Stripe tratta il pagamento in qualità di nostro responsabile del trattamento; per prevenire le frodi e adempiere ai propri obblighi di legge, come le norme antiriciclaggio, agisce come titolare autonomo del trattamento secondo la propria informativa sulla privacy. Le basi giuridiche sono il contratto con la vostra organizzazione (art. 6, par. 1, lett. b), del GDPR) e il nostro obbligo di tenuta della contabilità (art. 6, par. 1, lett. c), del GDPR). Le notifiche di Stripe vengono cancellate 400 giorni dopo il loro arrivo, una volta elaborate. Conserviamo i dati di fatturazione finché esiste l’organizzazione, e le fatture e gli altri documenti contabili per il periodo richiesto dalla legge danese sulla contabilità (bogføringsloven), cioè 5 anni dalla fine dell’esercizio. Stripe può trattare dati negli Stati Uniti; tale trasferimento è disciplinato dal quadro UE-USA per la protezione dei dati personali e dalle clausole contrattuali tipo della Commissione europea.
Se rispondete a una richiesta ai fornitori
Un marchio può chiedere dati sui prodotti ai propri fornitori con un link a un modulo su forms.dpphost.eu, che il marchio invia direttamente o che inviamo noi via email a suo nome, con al massimo due promemoria. Il marchio è il titolare del trattamento e noi siamo il suo responsabile del trattamento. Il marchio ci fornisce i vostri recapiti, come nome, indirizzo email, paese e lingua, e riceve le vostre risposte e i file che caricate, come certificati o foto; prima di conservare le foto ne rimuoviamo i dati sulla posizione e sulla fotocamera. Il marchio decide per quanto tempo conservare i vostri recapiti e le vostre risposte. I file che il marchio non ha usato in alcun passaporto vengono cancellati 90 giorni dopo la chiusura della richiesta, cioè dopo il suo ritiro o la scadenza del suo link. Il modulo non richiede alcun account e non imposta cookie. Le domande sui vostri dati in quel contesto vanno rivolte al marchio che ha inviato la richiesta. Se usate «Segnala questa richiesta», conserviamo un hash del vostro indirizzo email per non inviarvi altre richieste da parte di quel marchio. Per questo trattamento siamo noi il titolare, sulla base del nostro legittimo interesse a prevenire gli abusi (art. 6, par. 1, lett. f), del GDPR), e conserviamo l’hash finché non ci chiedete di rimuoverlo.
Se usate i servizi per i proprietari offerti da un marchio
Alcuni marchi consentono ai proprietari dei loro prodotti di registrarli su app.dpphost.eu/owner/…. In quell’area il titolare del trattamento è il marchio e DPP Host tratta i vostri dati per suo conto; lì è riportata l’informativa sulla privacy del marchio, e le domande su articoli, richieste o dati in quell’area vanno rivolte al marchio. DPP Host è titolare del trattamento dei vostri dati di accesso (il vostro indirizzo email e il momento in cui lo avete confermato), che potete usare presso più marchi; ci servono per fornirvi l’accesso che avete richiesto (art. 6, par. 1, lett. b), del GDPR). Potete accedere a un’area proprietari anche con Apple o Google; ciò che il fornitore condivide e ciò che ne conserviamo è descritto in «Account nella dashboard». Il nome che un proprietario indica per la propria carta, o che Apple o Google condivide all’accesso, compare sulla carta e sulla pagina del prodotto di quel proprietario; in una cessione l’altra persona vede solo il nome e l’iniziale del cognome, e lo stesso vale in seguito per la carta del proprietario precedente; una prova di registrazione condivisa da un proprietario mostra il prodotto, il suo numero di serie, da quando è registrato e le iniziali del proprietario, oppure il nome completo se il proprietario lo sceglie; il passaporto di prodotto non mostra mai il nome, e nessuno di questi elementi mostra un indirizzo email, un numero di telefono o un indirizzo postale. Se un negozio collegato dal marchio vi consegna un prodotto, il nome del negozio e la data di vendita entrano a far parte della vostra registrazione e della vostra garanzia, e la vostra carta e la pagina del prodotto riportano «Acquistato presso» con il nome del negozio; il negozio vede il vostro nome e l’iniziale del cognome fino a 30 giorni dopo la consegna, e nient’altro su di voi. Se il negozio ci fa inviare il link via email, il vostro indirizzo viene usato solo per quell’email. L’apertura di una prova di registrazione viene conteggiata come visualizzazione e non conserva nulla su di voi. Conserviamo i vostri dati di accesso finché avete un account proprietario presso un marchio o un account nella dashboard. Se chiedete un link di accesso ma non aprite mai un account proprietario, o se il vostro ultimo account proprietario viene eliminato, cancelliamo i dati di accesso dopo 30 giorni di inutilizzo. Domande sui vostri dati di accesso: privacy@dpphost.eu.
Avvisi di sicurezza: dalla pagina del passaporto di un prodotto potete chiedere di ricevere avvisi di sicurezza su quel prodotto senza un account proprietario. Il marchio conserva allora il vostro indirizzo email, la sua lingua e il prodotto, e li usa solo per informarvi di avvertenze di sicurezza e richiami (art. 35 del regolamento (UE) 2023/988), mai per il marketing; vede solo quante persone li hanno chiesti. I proprietari registrati ricevono questi avvisi all’indirizzo del proprio account o a un indirizzo diverso da loro indicato. Ogni avviso contiene un link per disattivarli, dopodiché l’indirizzo viene cancellato; viene cancellato anche un indirizzo diverso che non sia stato confermato entro 7 giorni. L’accesso con cui confermate l’indirizzo viene cancellato subito dopo, a meno che non abbiate un account proprietario o un account nella dashboard.
Prove d’acquisto: se un negozio collegato dal marchio ha aggiunto la vostra prova d’acquisto quando avete comprato un prodotto, e l’avete tenuta quando avete preso in carico il prodotto, la prova viene conservata con la vostra registrazione e solo voi potete vederla o scaricarla. Il marchio la vede solo se la allegate a una richiesta di riparazione o di garanzia, e solo finché quella richiesta è aperta. Viene cancellata quando la vostra registrazione termina, ad esempio quando cedete il prodotto, oppure quando la rimuovete; il proprietario successivo non la vede mai. È conservata nell’UE, presso Cloudflare, e non fa parte di alcun backup.
Bici e batterie: se una bici e la sua batteria sono entrambe registrate a vostro nome, registriamo anche quale batteria è montata su quale bici, in modo che ogni carta indichi l’altro componente e che una vendita possa comprenderli entrambi; il marchio non vede questa informazione, e il collegamento termina quando uno dei due componenti viene venduto, segnalato come smarrito o rubato, o riciclato separatamente.
Smarrito o rubato: se segnalate un prodotto come smarrito o rubato e consentite a chi lo trova di scrivervi, la pagina del suo passaporto indica che il proprietario lo sta cercando, con un pulsante per inviarvi un messaggio; la pagina non mostra mai il vostro nome né come contattarvi. Ciò che invia chi lo trova arriva solo a voi: sulla pagina del vostro prodotto, sulla vostra carta Wallet e in un’email che vi avvisa che è arrivato un messaggio. Il marchio non lo vede. Ogni messaggio viene cancellato dopo 30 giorni, quando lo segnalate o quando la vostra registrazione termina.
Se scrivete al proprietario di un prodotto che avete trovato
Quando il proprietario di un prodotto lo ha segnalato come smarrito o rubato e consente a chi lo trova di scrivergli, la pagina del passaporto del prodotto ha un pulsante per inviargli un messaggio. Il modulo su app.dpphost.eu chiede dove si trova il prodotto; potete anche aggiungere la vostra posizione (solo se lo volete, e il vostro browser ve lo chiede prima), un modo per contattarvi e un breve messaggio. Trasmettiamo queste informazioni solo al proprietario registrato del prodotto: tutte sulla pagina del suo prodotto, e il luogo che avete indicato sulla sua carta Wallet; la sua email dice solo che è arrivato un messaggio. Il marchio non vede mai il vostro messaggio, che non viene usato per nient’altro. Il marchio è titolare del trattamento dei suoi servizi per i proprietari, e DPP Host tratta il vostro messaggio per suo conto (si veda «Se usate i servizi per i proprietari offerti da un marchio»); la base giuridica è il legittimo interesse del proprietario e vostro a che il prodotto torni al suo proprietario (art. 6, par. 1, lett. f), del GDPR). Il vostro messaggio viene cancellato dopo 30 giorni, o prima se il proprietario lo segnala o se la sua registrazione termina.
Per proteggere i proprietari dagli abusi, DPP Host, in qualità di titolare del trattamento, verifica con Cloudflare Turnstile che a inviare il modulo sia una persona e limita il numero di messaggi che un indirizzo di rete può inviare. Per questi limiti conserviamo un hash con chiave del vostro indirizzo IP, mai l’indirizzo stesso: nei nostri contatori per non più di un giorno, e con il vostro messaggio per tutto il tempo in cui questo viene conservato. Se il proprietario segnala il vostro messaggio, il messaggio viene cancellato e i messaggi provenienti dallo stesso indirizzo sottoposto a hash vengono rifiutati per 7 giorni. Nei messaggi non sono ammessi link. Il modulo non imposta cookie e non conserva nulla nel vostro browser. La base giuridica è il nostro legittimo interesse a offrire un servizio sicuro (art. 6, par. 1, lett. f), del GDPR). Per far cancellare prima il vostro messaggio, scrivete a privacy@dpphost.eu indicando il prodotto e l’ora in cui l’avete inviato.
Segnalazioni di contenuti
Se segnalate un contenuto con il modulo della pagina dedicata alle segnalazioni, conserviamo quanto scrivete, l’indirizzo web segnalato, il vostro nome e indirizzo email se li indicate, e un hash con chiave del vostro indirizzo IP. Usiamo la segnalazione per gestirla e per adempiere ai nostri obblighi ai sensi del regolamento sui servizi digitali (art. 6, par. 1, lett. c), del GDPR). L’organizzazione interessata non viene mai a sapere chi ha inviato la segnalazione. Usiamo l’hash dell’IP solo per limitare gli abusi del modulo, in base al nostro legittimo interesse a mantenerlo utilizzabile per tutti (art. 6, par. 1, lett. f), del GDPR). Cancelliamo l’hash dell’IP dopo 30 giorni. A 3 anni dalla nostra decisione cancelliamo il vostro nome, il vostro indirizzo email e quanto avete scritto; conserviamo solo il riferimento, le date, la categoria, l’indirizzo web segnalato e la decisione, come traccia di come abbiamo gestito la segnalazione.
Dove sono conservati i dati e chi li riceve
Il nostro database, il nostro sistema di accesso e le nostre funzioni server sono ospitati da Supabase a Francoforte, in Germania. Cloudflare distribuisce i nostri siti tramite la propria rete globale dal data center più vicino a voi, conserva nell’UE i file che memorizziamo e inoltra alle nostre caselle di posta presso Microsoft (Microsoft 365) e Google (Gmail) le email inviate a hello@dpphost.eu e a privacy@dpphost.eu. Resend invia le nostre email. Anthropic legge i file e le pagine che trascinate in «Nuovo passaporto» e i documenti GS1 che aggiungete alle rivendicazioni di GTIN, e scrive le risposte della Guida. Supabase, Cloudflare, Microsoft, Resend e Anthropic sono i nostri responsabili del trattamento. Stripe gestisce i pagamenti, come descritto sopra. Sono tutte società statunitensi o parte di gruppi statunitensi. Quando i dati personali vengono trasferiti negli Stati Uniti o vi si accede dall’esterno dell’UE, il trasferimento verso i nostri responsabili del trattamento e verso Stripe è disciplinato dalle clausole contrattuali tipo della Commissione europea contenute nell’accordo sul trattamento dei dati di ciascun fornitore e, per Cloudflare, Resend e Stripe, anche dal quadro UE-USA per la protezione dei dati personali. Potete chiederci una copia di queste garanzie scrivendo a privacy@dpphost.eu. L’elenco dei nostri sub-responsabili del trattamento, con la data di inizio di ciascun nuovo sub-responsabile, è disponibile su dpphost.eu/sub-processors (in inglese).
Altri destinatari: il registro VIES dell’UE riceve il numero di partita IVA di un’organizzazione in fase di verifica; Google, Apple e Microsoft partecipano, in qualità di titolari autonomi del trattamento, agli accessi che avviate con loro; i fornitori delle app di IA che collegate ricevono ciò che l’app legge per voi; i marchi ricevono ciò che la presente informativa indica che vedono; e le autorità ricevono dati quando la legge lo richiede, ad esempio la polizia ai sensi del regolamento sui servizi digitali. Non vendiamo dati personali.
Backup ed esportazioni
Ogni notte copiamo tutti i passaporti pubblicati in uno spazio di archiviazione separato presso Cloudflare nell’UE, per poter ripristinare i passaporti; la copia contiene solo ciò che mostrano le pagine dei passaporti. Conserviamo ogni copia notturna per 35 giorni e una copia al mese per 400 giorni. Gli amministratori di un’organizzazione possono scaricarne passaporti, bozze, file dei fornitori, contenuti multimediali e pagine come file ZIP, che cancelliamo dopo 7 giorni; un’esportazione di questo tipo non contiene dati di membri o proprietari, chiavi né dati di fatturazione. I dati cancellati possono rimanere nei backup cifrati del database per un massimo di 7 giorni prima di essere sovrascritti.
I vostri diritti
Potete chiederci l’accesso ai vostri dati, la loro rettifica o cancellazione, la limitazione del trattamento o una copia in un formato leggibile da dispositivo automatico, e potete opporvi al trattamento basato sul nostro legittimo interesse. Scrivete a privacy@dpphost.eu. Rispondiamo entro un mese e possiamo chiedervi di confermare la vostra identità. Quando il titolare del trattamento dei vostri dati è un marchio (si veda «Quando il titolare del trattamento è un marchio»), rivolgetevi al marchio, oppure scriveteci e inoltreremo la vostra richiesta. A parte la verifica automatica nel VIES (si veda «Organizzazioni, verifiche dell’impresa e GTIN»), non prendiamo nei vostri confronti decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici che vi riguardano o che incidano in modo analogo significativamente sulla vostra persona. Potete inoltre proporre reclamo all’autorità danese per la protezione dei dati (Datatilsynet, datatilsynet.dk) o all’autorità per la protezione dei dati del paese in cui risiedete o lavorate.
Modifiche alla presente informativa
Aggiorniamo la presente informativa quando cambia ciò che facciamo con i dati personali. La data in alto indica quando l’abbiamo modificata l’ultima volta.