Privacy policy

1. Titolare e punti di contatto

Il titolare del trattamento deve essere identificato con i dati societari effettivi prima del go-live. In assenza di configurazione completa, i dati esposti nel runtime hanno solo valore fac-simile e il blocco legale del rilascio LIVE deve restare attivo.

2. Categorie di dati e finalità

VDS tratta dati identificativi e di contatto, indirizzi di spedizione, dati dell’ordine, eventi di tracking, dati tecnici di sicurezza e informazioni fornite nelle pratiche di assistenza. Le finalità comprendono preventivo, esecuzione della spedizione, pagamenti, assistenza, prevenzione abusi, obblighi amministrativi e gestione delle richieste privacy.

3. Basi giuridiche e tempi di conservazione

I trattamenti necessari al servizio si fondano sull’esecuzione di misure precontrattuali o contrattuali; gli obblighi fiscali e di legge sulla relativa base normativa; sicurezza e tutela dei diritti sul legittimo interesse quando applicabile. Le preferenze non necessarie restano opt-in. La conservazione deve seguire il registro operativo e il workflow GDPR configurato.

4. Conservazione, minimizzazione e log

VDS deve trattare solo i dati necessari alle finalità dichiarate e conservarli per un periodo coerente con obblighi contrattuali, fiscali, antifrode, sicurezza e gestione delle pratiche. Log tecnici, audit trail e evidenze operative servono a ricostruire eventi, accessi e modifiche rilevanti.

5. Provider, pagamenti e sub-responsabili

VDS utilizza fornitori tecnici e logistici soltanto per le funzioni necessarie: hosting, database, autenticazione, pagamento, email e carrier. Le credenziali restano server-side e i dati condivisi con ciascun fornitore devono essere limitati a quanto necessario al servizio.

6. Trasferimenti internazionali

Quando un fornitore tratta dati fuori dallo SEE, il titolare deve verificare il meccanismo di trasferimento applicabile, le misure supplementari e la documentazione del fornitore. L’attivazione tecnica di un’integrazione non sostituisce questa verifica.

7. Diritti dell’interessato

L’area account e il workflow GDPR consentono di registrare richieste di accesso, cancellazione, rettifica, limitazione e opposizione. Le richieste vengono tracciate con scadenza e revisione umana prima di operazioni irreversibili.

8. Sicurezza, audit e contatti privacy

VDS applica segregazione dei segreti, controllo degli accessi, TLS, MFA sulle azioni sensibili, rate limiting, logging applicativo, tracciamento delle operazioni critiche e revisione umana dei workflow più delicati. Eventuali segnalazioni privacy, esercizio diritti o incidenti vanno indirizzati ai contatti societari che saranno resi effettivi nel Control.