Informativa sulla Privacy

1. Identità e dati di contatto del Titolare del trattamento

Il Titolare del trattamento dei dati personali raccolti e trattati attraverso il sito web PresentHunter (di seguito "il Sito") è:

Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO) in quanto non ricorrono le condizioni di cui all'art. 37 GDPR. [Modificare se applicabile]

2. Tipologie di dati personali trattati

PresentHunter tratta due distinte categorie di dati personali, relative a soggetti diversi:

2.1 Dati degli utenti del Sito (visitatori)

• Dati di navigazione: indirizzo IP, tipo di browser, sistema operativo, pagine visitate, timestamp delle richieste HTTP, raccolti automaticamente dai server per finalità di sicurezza e diagnostica.
• Dati comunicati volontariamente: informazioni inserite nel modulo di contatto (nome, indirizzo email, testo del messaggio) e l'URL del profilo social del soggetto da analizzare.
• Cookie tecnici: identificativi di sessione e preferenze di lingua; si veda la sezione 9.

2.2 Dati di terze persone (soggetti dei profili analizzati)

Su richiesta dell'utente, il Sito accede a informazioni rese pubblicamente disponibili sul profilo Instagram o Facebook del soggetto da festeggiare. Tali informazioni possono comprendere:

• Nome pubblico del profilo e immagini del profilo e delle pubblicazioni.
• Contenuti pubblicati pubblicamente: post, didascalie, hashtag, interazioni pubbliche.
• Interessi, hobby e stile di vita desumibili dall'attività pubblica sul profilo.

Non vengono mai raccolti: messaggi privati, contenuti accessibili solo agli amici/follower, storie riservate, dati di geolocalizzazione precisa, dati sanitari o altri dati di categoria speciale ex art. 9 GDPR.

3. Finalità e basi giuridiche del trattamento

3.1 Erogazione del servizio di raccomandazione regalo

Finalità: elaborare le informazioni pubbliche del profilo social indicato dall'utente per generare suggerimenti di regalo personalizzati.
Base giuridica: art. 6(1)(f) GDPR — legittimo interesse del Titolare e dell'utente a ricevere suggerimenti regalo pertinenti, bilanciato con i diritti e le libertà fondamentali del soggetto analizzato (si veda la sezione 4 per la valutazione dettagliata).

3.2 Sicurezza e prevenzione degli abusi

Finalità: prevenire accessi non autorizzati, abusi del servizio, attività fraudolente e proteggere l'integrità del sistema.
Base giuridica: art. 6(1)(f) GDPR — legittimo interesse del Titolare alla sicurezza informatica e alla tutela del servizio.

3.3 Gestione del modulo di contatto

Finalità: rispondere alle richieste di informazioni e alle segnalazioni inviate tramite il modulo di contatto.
Base giuridica: art. 6(1)(b) GDPR — esecuzione di misure precontrattuali o art. 6(1)(a) GDPR — consenso espresso dell'interessato al momento dell'invio.

3.4 Analisi statistica anonimizzata

Finalità: migliorare le prestazioni e l'usabilità del Sito attraverso dati statistici aggregati e anonimizzati, non riconducibili a individui specifici.
Base giuridica: non applicabile (i dati sono anonimizzati e non costituiscono dati personali ai sensi del GDPR). Qualora vengano utilizzati strumenti che trattano IP non anonimizzati, la base sarà art. 6(1)(f) GDPR.

4. Analisi automatizzata di profili social pubblici — sezione specifica

4.1 Descrizione del trattamento

PresentHunter offre un servizio che, su esplicita richiesta dell'utente, accede alle informazioni pubblicamente disponibili sul profilo Instagram o Facebook di una terza persona (il "soggetto analizzato") al fine di generare suggerimenti regalo personalizzati. Il trattamento avviene interamente in modalità automatizzata tramite un sistema di intelligenza artificiale.

4.2 Base giuridica e test di bilanciamento degli interessi

La base giuridica per questo trattamento è il legittimo interesse ai sensi dell'art. 6(1)(f) GDPR. Il Titolare ha condotto la seguente valutazione di bilanciamento:

• Interesse perseguito: fornire all'utente suggerimenti regalo personalizzati e pertinenti, migliorando l'esperienza di acquisto e valorizzando relazioni interpersonali.
• Necessità del trattamento: l'accesso ai dati pubblici del profilo è necessario per raggiungere la finalità; non esistono mezzi alternativi meno invasivi per ottenere risultati equivalenti.
• Aspettative ragionevoli del soggetto analizzato: chi pubblica informazioni su un profilo social pubblico sceglie consapevolmente di renderle visibili a chiunque su internet. La consultazione di tali informazioni da parte di terzi rientra nell'ambito delle aspettative ragionevoli associate a un profilo pubblico.
• Impatto sul soggetto analizzato: limitato. I dati vengono trattati esclusivamente per il tempo necessario all'elaborazione della richiesta, non vengono conservati permanentemente, non vengono ceduti a terzi per finalità autonome e non producono effetti giuridici o decisioni significative nei confronti del soggetto.
• Garanzie adottate: minimizzazione dei dati (solo informazioni rilevanti per la finalità regalo), cancellazione automatica al termine dell'elaborazione, assenza di profiling secondario, assenza di marketing diretto nei confronti del soggetto analizzato.

Sulla base di tale valutazione, il Titolare ritiene che il legittimo interesse prevalga ragionevolmente sui diritti e le libertà fondamentali del soggetto analizzato, nel rispetto dei principi di cui all'art. 5 GDPR.

4.3 Limitazioni e perimetro del trattamento

• Il servizio è accessibile esclusivamente per profili pubblici. Non è tecnicamente possibile né consentito accedere a profili privati o a contenuti riservati.
• I dati vengono trattati unicamente per generare i suggerimenti regalo richiesti dall'utente. Non vengono utilizzati per profilazione commerciale, pubblicità comportamentale, vendita a terzi o qualsiasi altra finalità secondaria.
• Il trattamento è temporaneo: i dati del profilo analizzato non vengono salvati su database permanenti del Titolare.
• Il servizio non effettua decisioni automatizzate con effetti giuridici nei confronti del soggetto analizzato ai sensi dell'art. 22 GDPR.

4.4 Informativa al soggetto analizzato (art. 14 GDPR)

Il soggetto analizzato non fornisce direttamente i propri dati al Titolare. In conformità all'art. 14(5)(b) GDPR, il Titolare non è tenuto a fornire direttamente l'informativa al soggetto analizzato in quanto tale obbligo comporterebbe uno sforzo sproporzionato, non disponendo il Titolare di dati di contatto diretti dell'interessato. La presente informativa costituisce adempimento dell'obbligo di trasparenza ai sensi dell'art. 14(1)-(4) GDPR tramite pubblicazione accessibile al pubblico.

Il soggetto analizzato che venisse a conoscenza del trattamento ha comunque il diritto di esercitare tutti i diritti di cui agli artt. 15–22 GDPR, incluso il diritto di opposizione ex art. 21, contattando il Titolare tramite l'apposito form contatti con oggetto "Altro".

4.5 Esclusione di responsabilità

Il Titolare non è responsabile dell'accuratezza, completezza o aggiornamento delle informazioni pubblicate dai soggetti sui propri profili social, né dell'eventuale accessibilità a contenuti che la piattaforma social avrebbe dovuto rendere non pubblici. Il Titolare tratta esclusivamente le informazioni che le piattaforme rendono accessibili pubblicamente tramite le proprie interfacce. Qualsiasi utilizzo improprio del servizio da parte degli utenti per accedere o divulgare informazioni di soggetti terzi ricade sotto la responsabilità esclusiva dell'utente.

5. Destinatari e fornitori terzi (Responsabili del trattamento)

I dati personali trattati possono essere comunicati ai seguenti soggetti terzi, nominati Responsabili del trattamento ai sensi dell'art. 28 GDPR mediante apposito accordo contrattuale:

• Fornitore di hosting/cloud: [NOME PROVIDER HOSTING] — per l'erogazione dell'infrastruttura tecnica del Sito.
• Fornitore di automazione workflow (n8n): [NOME/URL PROVIDER n8n] — per l'orchestrazione del processo di elaborazione delle richieste.
• Fornitore di intelligenza artificiale: [NOME PROVIDER AI] — per l'elaborazione automatizzata dei dati del profilo e la generazione dei suggerimenti regalo tramite assistenti basati su intelligenza artificiale.
• Fornitori di strumenti di raccolta dati pubblici (scraping/API): [NOME PROVIDER] — per l'accesso alle informazioni pubbliche dei profili social.
• Fornitore di analytics: [NOME PROVIDER ANALYTICS, es. Plausible / Matomo / Google Analytics] — per l'analisi statistica del traffico web in forma anonimizzata.

I dati non vengono venduti, ceduti né comunicati a terzi per finalità autonome. L'elenco aggiornato dei Responsabili del trattamento è disponibile su richiesta tramite l'apposito form contatti con oggetto "Altro".

6. Trasferimenti di dati verso Paesi terzi

Alcuni fornitori terzi elencati nella sezione 5 potrebbero avere sede al di fuori dello Spazio Economico Europeo (SEE), in particolare negli Stati Uniti d'America. In tali casi, il trasferimento avviene nel rispetto delle seguenti garanzie:

• EU-US Data Privacy Framework (DPF): per i fornitori certificati ai sensi della Decisione di adeguatezza della Commissione Europea del 10 luglio 2023.
• Clausole Contrattuali Standard (SCC): adottate con Decisione della Commissione Europea 4 giugno 2021 (2021/914/UE), per i fornitori non certificati DPF.
• Misure supplementari: crittografia in transito e a riposo, minimizzazione dei dati trasferiti.

L'interessato può richiedere copia delle garanzie adottate tramite l'apposito form contatti con oggetto "Altro".

7. Periodi di conservazione

Al termine del periodo di conservazione, i dati vengono cancellati o anonimizzati in modo irreversibile.

8. Misure di sicurezza tecnica e organizzativa

Il Titolare adotta misure di sicurezza adeguate al rischio ai sensi dell'art. 32 GDPR, tra cui:

• Crittografia in transito: tutte le comunicazioni avvengono via TLS/HTTPS.
• Controllo degli accessi: accesso ai dati limitato al personale autorizzato su base need-to-know.
• Minimizzazione: raccolta esclusiva dei dati strettamente necessari alla finalità dichiarata.
• Cancellazione automatica: i dati del profilo analizzato vengono eliminati al termine dell'elaborazione senza transitare in archivi permanenti.
• Monitoraggio e log: registrazione degli accessi per rilevamento anomalie e prevenzione abusi.
• Aggiornamenti di sicurezza: aggiornamento regolare di software, dipendenze e patch di sicurezza.
• Valutazione dei fornitori: i Responsabili del trattamento vengono selezionati verificandone le misure di sicurezza.

In caso di violazione dei dati personali (data breach) che presenti rischi per i diritti e le libertà degli interessati, il Titolare notificherà l'Autorità Garante entro 72 ore ai sensi dell'art. 33 GDPR e, ove necessario, comunicherà l'evento agli interessati ai sensi dell'art. 34 GDPR.

9. Cookie e tecnologie di tracciamento

Il Sito utilizza le seguenti tipologie di cookie:

9.1 Cookie strettamente necessari (tecnici)

Indispensabili per il funzionamento del Sito e per ricordare le preferenze di navigazione (es. lingua selezionata). Non richiedono consenso ai sensi dell'art. 122 D.Lgs. 196/2003 e delle Linee guida EDPB. Durata: sessione o fino a 12 mesi.

9.2 Cookie analytics (se utilizzati)

Strumenti di analisi statistica del traffico configurati in modalità anonimizzata (IP mascherato, nessun fingerprinting cross-site). [Se si utilizza Google Analytics: i dati sono trattati in forma aggregata; è attiva l'anonimizzazione dell'IP]. La base giuridica è il legittimo interesse ex art. 6(1)(f) GDPR, previa verifica del carattere anonimo del trattamento. Ove l'anonimizzazione non fosse garantita, verrà acquisito il consenso dell'utente tramite banner.

9.3 Gestione dei cookie

È possibile disabilitare o eliminare i cookie in qualsiasi momento attraverso le impostazioni del browser. La disabilitazione dei cookie tecnici potrebbe compromettere alcune funzionalità del Sito.

10. Diritti dell'interessato (artt. 15–22 GDPR)

Ogni interessato — sia utente del Sito sia soggetto terzo il cui profilo sia stato analizzato — ha il diritto di esercitare i seguenti diritti:

• Diritto di accesso (art. 15): ottenere conferma che sia in corso un trattamento e ricevere una copia dei dati personali trattati.
• Diritto di rettifica (art. 16): ottenere la correzione di dati inesatti o il completamento di dati incompleti.
• Diritto alla cancellazione ("diritto all'oblio") (art. 17): ottenere la cancellazione dei dati personali nei casi previsti dalla norma.
• Diritto alla limitazione del trattamento (art. 18): ottenere la limitazione del trattamento nelle ipotesi previste.
• Diritto alla portabilità dei dati (art. 20): ricevere i dati in formato strutturato, di uso comune e leggibile da dispositivo automatico, ove tecnicamente applicabile.
• Diritto di opposizione (art. 21): opporsi al trattamento basato su legittimo interesse — si veda la sezione 11.
• Diritto di non essere sottoposto a decisioni automatizzate (art. 22): non essere soggetto a decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici significativi.

Le richieste di esercizio dei diritti possono essere inviate tramite l'apposito form contatti con oggetto "Altro".

Il Titolare risponderà entro 30 giorni dal ricevimento della richiesta, prorogabili di ulteriori 60 giorni in caso di complessità o elevato numero di richieste, con comunicazione all'interessato entro il primo mese.

L'esercizio dei diritti è gratuito. In caso di richieste manifestamente infondate o eccessive, il Titolare può addebitare un contributo spese ragionevole.

11. Diritto di opposizione (art. 21 GDPR)

L'interessato ha il diritto di opporsi in qualsiasi momento al trattamento dei propri dati personali effettuato sulla base del legittimo interesse (art. 6(1)(f) GDPR), incluso il trattamento descritto nella sezione 4 relativo all'analisi di profili social.

In caso di opposizione, il Titolare si asterrà dal trattare ulteriormente i dati personali salvo che dimostri l'esistenza di motivi legittimi cogenti che prevalgono sugli interessi, i diritti e le libertà dell'interessato, oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

L'opposizione può essere esercitata tramite l'apposito form contatti con oggetto "Altro".

12. Reclamo all'Autorità di controllo

Fatti salvi altri ricorsi amministrativi o giurisdizionali, l'interessato che ritenga che il trattamento dei propri dati violi il GDPR ha il diritto di proporre reclamo all'Autorità di controllo competente. In Italia:

L'interessato residente in un altro Stato membro dell'UE può rivolgersi all'Autorità di controllo del proprio Paese di residenza.

13. Aggiornamenti all'informativa

La presente informativa potrà essere modificata o aggiornata in ragione di variazioni normative, giurisprudenziali, tecniche o dell'offerta dei servizi. Le modifiche saranno pubblicate su questa pagina con indicazione della data di aggiornamento. In caso di modifiche sostanziali, il Titolare ne darà comunicazione agli utenti con adeguata evidenza sul Sito.

La versione in vigore è quella pubblicata su questa pagina. Si invita a consultarla periodicamente.