Informativa sulla privacy

La presente informativa illustra come Montandor Andorra S.L.U. («Montandor», «noi») raccoglie, utilizza, conserva e protegge i vostri dati personali quando visitate boutique.montandor.fr, vi effettuate un ordine o interagite con la vostra consulente dedicata tramite la chat. Essa è redatta nel rispetto del diritto andorrano sulla protezione dei dati (Llei Qualificada de Protecció de Dades, LQPD), del GDPR europeo (UE 2016/679) quando il visitatore si trova nell'Unione europea, e delle norme nazionali sulla protezione dei dati francese, spagnola, portoghese, italiana, tedesca e svizzera ove applicabili.

1. Titolare del trattamento

Montandor Andorra S.L.U., con sede in Av. de les Nacions Unides 40, Edifici Monday – Oficina 211, AD700 Escaldes-Engordany, Principato di Andorra. Per qualsiasi domanda relativa al trattamento dei vostri dati o per esercitare i vostri diritti, scrivete a info@montandor.com o utilizzate la chat della boutique selezionando la categoria «Privacy». Rispondiamo nei termini previsti dalla normativa applicabile e comunque entro trenta (30) giorni.

2. Dati che raccogliamo

Raccogliamo quattro categorie di dati nell'ambito strettamente necessario all'esecuzione del vostro ordine e alla gestione del rapporto commerciale:

• Dati dell'account e dell'ordine: nome e cognome, ragione sociale (se del caso), indirizzi di fatturazione e di consegna, email, numero di telefono, identificativi dell'ordine, cronologia degli acquisti. Tali dati sono necessari alla conclusione e all'esecuzione del contratto di vendita.
• Dati di pagamento: non memorizziamo mai i numeri di carta di credito completi. Il pagamento è gestito dal nostro fornitore certificato PCI-DSS livello 1. Conserviamo unicamente il token della transazione, le ultime quattro cifre della carta, il circuito (Visa, Mastercard, Amex), la data di scadenza e lo stato del pagamento, a fini contabili e antifrode.
• Dati di consegna: indirizzo di consegna, codice di accesso, istruzioni, numero di tracciamento del vettore (Chronopost, DHL Express). Tali dati sono trasmessi al nostro vettore e al nostro fornitore logistico ai soli fini dell'esecuzione della consegna.
• Dati tecnici di connessione: indirizzo IP, user agent, paese approssimativo, pagina consultata, marca temporale. Tali dati alimentano i nostri registri di accesso a fini di sicurezza, di prevenzione delle frodi e di diagnostica tecnica.

Non raccogliamo alcun dato sensibile ai sensi dell'articolo 9 del GDPR (origine etnica, opinioni politiche, religione, salute, orientamento sessuale, appartenenza sindacale, dati biometrici o genetici).

3. Finalità e basi giuridiche

4. Periodi di conservazione

• Dati dell'ordine e di fatturazione: durata del rapporto commerciale più dieci (10) anni, conformemente agli obblighi contabili andorrani e francesi.
• Dati di pagamento: tredici (13) mesi per il token della transazione e gli elementi antifrode, conformemente alle linee guida della CNIL e ai requisiti PCI-DSS.
• Account cliente inattivo: tre (3) anni dopo l'ultima connessione, quindi cancellazione o anonimizzazione (salvo obblighi contabili residui).
• Registri di accesso tecnici: dodici (12) mesi, quindi cancellazione automatica.
• Misurazione dell'audience aggregata: tredici (13) mesi mobili.
• Newsletter: fino alla vostra disiscrizione, immediata tramite il link presente in ogni messaggio.

5. Destinatari e responsabili del trattamento

I dati raccolti sono trattati dal nostro team interno e da un numero limitato di responsabili del trattamento tecnici strettamente necessari all'esecuzione del vostro ordine:

• Hosting dell'infrastruttura: Microsoft Azure, regione West Europe. Dati ospitati nell'UE.
• Pagamento: PayPal (Europe) S.à r.l. et Cie, S.C.A. (Lussemburgo), fornitore di servizi di pagamento certificato PCI-DSS livello 1, autorizzato in qualità di istituto di credito dalla Commission de Surveillance du Secteur Financier (CSSF). PayPal tratta i dati della carta di credito per l'autorizzazione, la cattura, il 3-D Secure (PSD2 SCA) e la prevenzione delle frodi. Informativa sulla privacy di PayPal: paypal.com/fr/legalhub/privacy-full.
• Logistica e spedizione: fornitore logistico 3PL situato in Francia (magazzino di Grisolles, 82170) e vettori (Chronopost, DHL Express) per la consegna dell'ultimo miglio.
• Email transazionale: Mailgun (UE), per inoltrare le conferme di ricevuta, le fatture e le notifiche di consegna.
• Servizi Microsoft 365: posta elettronica professionale interna, calendari, documentazione. Tenant Montandor.
• Calcolo delle tariffe di spedizione multi-vettore: Upela (Upela SAS, Francia), aggregatore di vettori che interroga Chronopost, Colissimo, DPD, MondialRelay, UPS, FedEx e DHL. Dati trasmessi nello stretto necessario al preventivo: codice postale di destinazione, città, peso e dimensioni del pacco. In questa fase non viene inviato alcun dato nominativo.
• Completamento automatico dell'indirizzo: Google Maps Platform — Maps JavaScript API e Places API (Google Ireland Limited). Lo script Google viene caricato solo a partire dalla vostra prima interazione con il campo «indirizzo di consegna». Si veda policies.google.com/privacy.
• Verifica di impresa francese (SIRET / SIREN): registro delle imprese gestito dallo Stato francese tramite recherche-entreprises.api.gouv.fr (DataGouv, Direction interministérielle du numérique). Dati pubblici INSEE/Sirene riutilizzati conformemente alla licenza aperta 2.0. Per gli acquisti B2B in Francia, integrata dall'API di societe.com (Société.com SAS, Francia).
• Verifica del numero di partita IVA intracomunitaria: sistema VIES della Commissione europea (DG TAXUD), conformemente al regolamento (UE) n. 904/2010. Viene trasmesso unicamente il numero di partita IVA inserito.

Ciascun responsabile del trattamento è vincolato da un contratto sulla protezione dei dati (DPA) che prevede le garanzie contrattuali, organizzative e tecniche richieste, ad eccezione dei servizi pubblici riutilizzati sotto licenza aperta (DataGouv, VIES) che non si fondano su un DPA bilaterale. L'elenco aggiornato è disponibile su richiesta all'indirizzo info@montandor.com.

6. Trasferimenti al di fuori dell'Unione europea

I dati raccolti sono conservati e trattati nello Spazio economico europeo (Microsoft Azure West Europe, magazzino logistico in Francia). Un trasferimento verso il Principato di Andorra può avere luogo per operazioni amministrative interne — Andorra beneficia di una decisione di adeguatezza della Commissione europea (2010/625/UE), che garantisce un livello di protezione considerato equivalente. Nessun trasferimento verso un paese terzo privo di decisione di adeguatezza viene effettuato senza clausole contrattuali tipo o garanzie equivalenti.

7. Sicurezza

Adottiamo le misure tecniche e organizzative ragionevolmente necessarie per proteggere i vostri dati: cifratura TLS 1.3 end-to-end, pagamento tokenizzato (PCI-DSS livello 1), controllo rigoroso degli accessi ai sistemi interni, registrazione degli accessi, autenticazione forte (MFA) per gli account amministratori, backup cifrati giornalieri, separazione degli ambienti di produzione e di test, audit di sicurezza periodici. In caso di violazione tale da comportare un rischio per i vostri diritti e libertà, notifichiamo l'autorità di controllo competente entro 72 ore e, se il rischio è elevato, vi informiamo direttamente.

8. Decisioni automatizzate e profilazione

Nessuna decisione che produca effetti giuridici o che incida significativamente sul visitatore viene presa mediante un trattamento interamente automatizzato. Applichiamo regole antifrode automatiche sulle transazioni di pagamento (verifica dell'indirizzo, rilevamento di comportamenti sospetti); qualsiasi decisione di blocco o di annullamento dell'ordine può essere contestata scrivendo a info@montandor.com e dà luogo a un riesame umano da parte di un membro del nostro team.

9. I vostri diritti

Conformemente al GDPR e alla LQPD andorrana, disponete dei seguenti diritti sui dati che vi riguardano:

• Diritto di accesso ai vostri dati.
• Diritto di rettifica in caso di inesattezza.
• Diritto alla cancellazione («diritto all'oblio») alle condizioni previste dalla legge.
• Diritto alla limitazione del trattamento.
• Diritto alla portabilità dei vostri dati verso un altro titolare.
• Diritto di opposizione al trattamento fondato sull'interesse legittimo.
• Diritto di revocare il vostro consenso in qualsiasi momento per i trattamenti fondati sul consenso (newsletter, ad esempio).
• Diritto di definire direttive post-mortem.
• Diritto di proporre un reclamo presso l'Agenzia andorrana per la protezione dei dati (APDA), la CNIL in Francia o la vostra autorità di controllo locale nell'UE.

Per esercitare i vostri diritti, scrivete a info@montandor.com o utilizzate la chat della boutique selezionando «Privacy». Può essere richiesta una prova ragionevole dell'identità per prevenire l'usurpazione.

10. Modifiche della presente informativa

La presente informativa può subire modifiche. La data dell'ultimo aggiornamento è indicata in cima alla pagina. Le modifiche sostanziali (cambiamento del titolare, delle finalità, aggiunta di un nuovo responsabile del trattamento rilevante) saranno evidenziate in un apposito banner informativo per trenta (30) giorni.