Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Il titolare del trattamento dei dati personali è DEA 2K SRL (in seguito anche "Marchese Preziosi"), con sede in Viale delle Medaglie d'Oro 97-99, 00136 Roma (RM), Italia.
Partita IVA IT15754051009.
Iscrizione OAM (Operatori Professionali in Oro): OPO574.
Autorizzazione di Pubblica Sicurezza per Compro Oro: OCO4367.

Per qualsiasi richiesta relativa al trattamento dei dati personali è possibile scrivere a info@marchesepreziosi.it oppure telefonare al numero 06 3972 6394.

2. Categorie di dati trattati

Tratteremo le seguenti categorie di dati personali:

• Dati anagrafici e di contatto (nome, cognome, indirizzo email, numero di telefono) raccolti tramite il modulo "Blocca prezzo" o il modulo contatti del sito.
• Dati relativi all'appuntamento (data e ora dello slot scelto, materiale, caratura/titolo, peso indicativo dichiarato online).
• Dati raccolti in negozio al momento della vendita: copia di un documento d'identità in corso di validità, codice fiscale, IBAN intestato al venditore, descrizione e foto degli oggetti conferiti, esito della verifica di titolo eseguita con spettrometro XRF. Si tratta di dati la cui raccolta è imposta per legge (art. 1, comma 1, lett. h-bis D.Lgs. 92/2008 e norme di pubblica sicurezza per i Compro Oro).
• Dati di navigazione e tecnici (indirizzo IP, user-agent, identificatore di sessione), gestiti come descritto nella Cookie Policy.

3. Finalità e basi giuridiche

4. Periodi di conservazione

• Dati relativi al blocca-prezzo e all'appuntamento: fino a 90 giorni dalla data dell'appuntamento se non si conclude alcuna compravendita; successivamente i dati vengono cancellati o anonimizzati.
• Atto di compravendita e registri OAM: 10 anni dalla data dell'operazione, ai sensi della normativa antiriciclaggio e degli obblighi a carico degli Operatori Professionali in Oro.
• Documentazione fiscale e contabile: 10 anni, ai sensi dell'art. 2220 c.c.
• Richieste tramite modulo contatti: fino a 24 mesi dall'ultimo contatto utile.
• Preferenze cookie: 6 mesi a partire dalla data della scelta, in linea con il provvedimento del Garante Privacy del 10 giugno 2021. Alla scadenza il banner viene riproposto.

5. Destinatari dei dati

I dati possono essere comunicati ai soggetti di seguito indicati, sempre nei limiti strettamente necessari e con adeguate garanzie contrattuali:

• Fornitori tecnologici: il provider che ospita il sito e il database, il provider di posta transazionale Resend (per invio delle conferme di appuntamento al cliente e delle notifiche operative al negozio).
• Canali di notifica interna: se attivati dall'amministratore, piattaforme di messaggistica come Telegram o Slack, limitatamente al dato strettamente necessario a segnalare al personale un nuovo appuntamento o una cancellazione (nome, data, slot).
• Sistema interno di statistiche di utilizzo: dati pseudonimi sulle pagine viste, sezioni visualizzate e click sui pulsanti, raccolti — solo se l'utente accetta la categoria analytics dal banner cookie — su server gestiti dal Titolare. Conservazione massima 90 giorni. Nessun cookie utilizzato (vedi Cookie Policy, §4).
• Servizi Google di analisi e advertising: attivabili dall'amministratore tramite l'inserimento di un tag in pannello. Solo se il tag è stato inserito e l'utente ha prestato consenso esplicito dal banner cookie, vengono inviati a Google identificatori e dati di evento.
• Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irlanda), come destinatario autonomo, per la misurazione delle conversioni delle campagne Google Ads tramite l'upload offline degli identificatori di click (gclid, gbraid, wbraid) associati alle prenotazioni effettivamente realizzate. Si veda il paragrafo dedicato qui sotto.
• Istituti bancari per l'esecuzione del bonifico verso l'IBAN indicato dal cliente.
• Autorità di pubblica sicurezza, Guardia di Finanza, OAM, UIF in esecuzione di obblighi di legge.
• Consulenti (commercialista, legale, DPO esterno se nominato) nei limiti necessari all'attività professionale prestata.

Invii da QR negozio (pagina /cliente)

In negozio è disponibile un QR code che apre la pagina /cliente sul tuo telefono. Compilando il form, ci invii direttamente nome e cognome, telefono, IBAN, foto di un documento di identità (fronte e retro), foto della tessera sanitaria e foto degli oggetti da valutare. Lo scopo del trattamento è velocizzare l'adempimento degli obblighi di identificazione antiriciclaggio e l'emissione del bonifico al momento dell'acquisto. Base giuridica: esecuzione di obblighi di legge (D.Lgs. 231/2007 — antiriciclaggio) e contratto.

I dati inviati tramite /cliente sono cifrati a riposo(AES-256-GCM) nel nostro database e sono visibili in chiaro esclusivamente all'operatore autenticato in negozio, su richiesta esplicita, al momento della valutazione. Vengono conservati per il tempo necessario all'esecuzione della transazione e poi entro i termini dell'obbligo di conservazione antiriciclaggio (10 anni per gli atti d'acquisto). Se l'invio non si traduce in un acquisto effettivo, l'operatore archivia o elimina l'invio dal pannello.

I dati non sono ceduti a terzi per finalità di marketing. Non viene effettuata alcuna profilazione automatizzata che produca effetti giuridici sull'interessato.

6. Misurazione conversioni pubblicitarie (Google Ads)

Per misurare l'efficacia delle campagne pubblicitarie che gestiamo su Google Ads e calcolare il costo reale di acquisizione di un cliente, associamo ogni prenotazione effettivamente confermata al clic dell'annuncio che l'ha originata. Questa è una pratica standard di conversion measurement che ci consente di non sprecare budget su parole-chiave inefficaci e di mantenere sostenibile il servizio gratuito di valutazione.

Dati trattati

• identificatore di click pubblicitario Google (gclid, gbraid o wbraid) presente nell'URL al primo arrivo sul sito;
• data e ora del clic, pagina di destinazione, eventuale URL di provenienza (referrer);
• hash irreversibile dell'indirizzo IP (non l'IP in chiaro) e stringa user-agent del browser, ad uso esclusivamente antifrode e diagnostico;
• lo stato del tuo consenso marketing al momento del clic, in modo che possiamo tracciare nel tempo quali identificatori sono stati raccolti prima di una scelta esplicita e quali dopo.

Lato browser, l'identificatore di click viene conservato in un cookie tecnico mp_click_id e in una chiave equivalente di localStorage denominata mp_click_v2, entrambi con durata massima di 90 giorni, allineata alla finestra di attribuzione di Google Ads.

Perché lo facciamo anche senza consenso marketing

La cattura dell'identificatore di click avviene prima della tua scelta sul banner cookie e prosegue anche se rifiuti le categorie analitiche e di marketing. La ragione è puramente tecnica e di misurazione: senza l'associazione clic → prenotazione non sapremmo quali annunci stanno effettivamente generando appuntamenti reali, con il rischio di continuare a investire su campagne inefficaci. L'identificatore non viene utilizzato per profilarti né per mostrarti pubblicità personalizzata: serve esclusivamente a contare le conversioni in forma aggregata.

Base giuridica

Il trattamento è fondato sul legittimo interesse del titolare ad avere una misura attendibile dell'efficacia delle proprie campagne pubblicitarie (art. 6, par. 1, lett. f del GDPR). Riteniamo che tale interesse non prevalga su diritti e libertà fondamentali dell'interessato perché:

• i dati sono limitati all'identificatore di click e alle informazioni tecniche minime per validarlo;
• la conservazione è limitata a 90 giorni;
• non c'è profilazione né decisione automatizzata che produca effetti sull'interessato;
• ti diamo informativa chiara in questa pagina e nel banner cookie e ti riconosciamo un diritto di opposizione effettivo (vedi sotto).

Quando la prenotazione viene confermata, l'identificatore di click associato viene inviato a Google Ireland Ltd. tramite l'API di offline conversion upload. Google agisce in tale fase come titolare autonomo per le proprie finalità di misurazione e ottimizzazione delle campagne, secondo quanto descritto nella sua Privacy Policy e nei Google Ads Data Processing Terms. Il trasferimento avviene verso server siti anche al di fuori dello Spazio Economico Europeo: si applicano le garanzie indicate al paragrafo successivo.

Diritto di opposizione

Trattandosi di un trattamento basato su legittimo interesse, hai il diritto di opporti in qualsiasi momento (art. 21 GDPR), senza dover motivare la richiesta. Puoi:

• scrivere a info@marchesepreziosi.it chiedendo la cessazione del tracciamento e la cancellazione dell'identificatore di click eventualmente già raccolto per il tuo dispositivo;
• cancellare manualmente il cookie mp_click_id e la chiave mp_click_v2 dalle impostazioni del tuo browser (la prossima navigazione partirà come anonima);
• utilizzare un browser in modalità privata/incognito o bloccare i cookie di prima parte: in tal caso nessun identificatore verrà persistito.

7. Trasferimenti extra-UE

Alcuni fornitori tecnologici (es. Resend, Google) possono trasferire dati al di fuori dello Spazio Economico Europeo, principalmente verso gli Stati Uniti. Tali trasferimenti avvengono sulla base delle decisioni di adeguatezza della Commissione Europea (incluso il EU-US Data Privacy Framework) e/o sulla base delle Clausole Contrattuali Standard adottate dalla Commissione Europea, con misure supplementari ove necessario.

8. Diritti dell'interessato

In ogni momento l'interessato può esercitare nei confronti del titolare i diritti previsti dagli artt. 15-22 del GDPR, ovvero:

• diritto di accesso ai propri dati (art. 15);
• diritto di rettifica (art. 16);
• diritto alla cancellazione ("diritto all'oblio", art. 17);
• diritto di limitazione del trattamento (art. 18);
• diritto alla portabilità dei dati (art. 20);
• diritto di opposizione al trattamento (art. 21);
• diritto di non essere sottoposto a decisioni automatizzate, inclusa la profilazione (art. 22);
• diritto di revocare in qualsiasi momento il consenso prestato (art. 7.3).

Le richieste possono essere inviate per email a info@marchesepreziosi.it. Riscontreremo entro 30 giorni dal ricevimento. L'esercizio dei diritti è gratuito, salvo nei casi di richieste manifestamente infondate o eccessive.

Si segnala che, per gli atti di compravendita già registrati e i dati la cui conservazione è imposta da norme di pubblica sicurezza, antiriciclaggio o fiscali, non è possibile dar luogo alla cancellazione prima dello scadere dei termini di legge.

9. Reclamo all'autorità di controllo

L'interessato che ritenga che il trattamento dei propri dati avvenga in violazione del GDPR può proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato membro dell'Unione Europea in cui risiede abitualmente o in cui ha sede il presunto trasgressore.

10. Modifiche all'informativa

Il titolare si riserva di aggiornare la presente informativa per riflettere modifiche normative, organizzative o tecnologiche. La data dell'ultima revisione è indicata in apertura del documento. Per ogni revisione sostanziale, gli utenti già contattati saranno informati attraverso i recapiti forniti.