1. Titolare del trattamento
Telemobile24 GmbH
Schlehenweg 16, 65321 Heidenrod
Amministratore: Rochdi Chebbi
E-mail: ankauf@tm24.de
Telefono: +49 162 7005526
HRB 32432, AG Wiesbaden · P.IVA: DE342487751
2. Finalità del trattamento dei dati
Trattiamo i Suoi dati personali nell’ambito del portale di acquisto per le seguenti finalità:
| Finalità | Base giuridica |
|---|---|
| Avvio ed esecuzione del contratto (offerta di acquisto, verifica, pagamento) | Art. 6, par. 1, lett. b), GDPR |
| Comunicazione (aggiornamenti di stato, controfferta, rispedizione) | Art. 6, par. 1, lett. b), GDPR |
| Pagamento (banca/PayPal) | Art. 6, par. 1, lett. b), GDPR |
| Obblighi fiscali di conservazione (dati contabili) | Art. 6, par. 1, lett. c), GDPR in combinato disposto con § 147 AO, § 257 HGB |
| Prevenzione di frodi e abusi (verifica IMEI, stato di blocco) | Art. 6, par. 1, lett. f), GDPR (legittimo interesse) |
| Conservazione delle prove (registro di audit, note interne) | Art. 6, par. 1, lett. f), GDPR (legittimo interesse) |
3. Categorie di dati raccolti
| Tipo di dato | Obbligatorio | Finalità |
|---|---|---|
| Nome | Sì | Identificazione della controparte contrattuale, spedizione |
| Indirizzo e-mail | Sì | Comunicazione, aggiornamenti di stato, controfferta |
| Numero di telefono | No | Chiarimenti sui risultati della verifica |
| Indirizzo | No | Rispedizione, etichetta di spedizione |
| IBAN | Sì* | Pagamento tramite bonifico bancario |
| E-mail PayPal | Sì* | Pagamento tramite PayPal |
| IMEI / numero di serie | No | Identificazione del dispositivo, verifica antifurto |
| Foto del dispositivo | No | Verifica accelerata, documentazione delle condizioni |
| Questionario (indicazioni sulle condizioni) | Sì | Calcolo del prezzo, preparazione della verifica |
| Registro di audit | Automatico | Conservazione delle prove, risoluzione delle controversie |
* A seconda del metodo di pagamento scelto.
4. Destinatari dei dati
| Destinatario | Finalità | Base giuridica |
|---|---|---|
| Provider di hosting (ALL-INKL.COM, Germania) | Hosting web, database, invio di e-mail | Art. 28 GDPR (accordo sul trattamento dei dati) |
| DHL / Hermes (corrieri) | Etichetta di spedizione, tracciamento, rispedizione | Art. 6, par. 1, lett. b), GDPR |
| PayPal (Europe) S.à r.l. et Cie, S.C.A. | Pagamento (se è stato scelto PayPal) | Art. 6, par. 1, lett. b), GDPR |
| Consulente fiscale / autorità finanziarie | Obblighi fiscali | Art. 6, par. 1, lett. c), GDPR |
Se si sceglie PayPal come metodo di pagamento, non si può escludere un trasferimento di dati personali a società del gruppo PayPal al di fuori dell’UE/del SEE. PayPal tratta i dati secondo la propria informativa sulla privacy (paypal.com/de/privacy) e adotta a tal fine garanzie adeguate (ad es. clausole contrattuali standard dell’UE). TM24 trasmette a PayPal solo l’indirizzo e-mail di destinazione necessario per il pagamento. Tutti gli altri dati restano su server in Germania.
5. Durata di conservazione e termini di cancellazione
| Tipo di dato | Durata di conservazione | Motivazione |
|---|---|---|
| Dati dell’ordine e contabili (nome, e-mail, IBAN, prezzo) | 10 anni dopo la conclusione | § 147 AO, § 257 HGB (obbligo fiscale di conservazione) |
| Foto del dispositivo | 90 giorni dopo la conclusione dell’ordine | Limitazione della finalità: non più necessario dopo la verifica |
| Registri di audit (modifiche di stato) | 3 anni | Conservazione delle prove, termine di prescrizione § 195 BGB |
| Note interne | Con la cancellazione dell’ordine | Nessun obbligo autonomo di conservazione |
| Corrispondenza e-mail | 6 anni | § 257 HGB (corrispondenza commerciale) |
6. Misure tecniche e organizzative
- Protezione dei caricamenti: Le foto caricate dal venditore sono salvate in una directory protetta, non accessibile direttamente tramite URL (limitazione dell’accesso tramite .htaccess).
- Autenticazione degli amministratori: Foto e dati degli ordini sono consultabili solo tramite un pannello di amministrazione autenticato (HTTP-Auth + script proxy).
- Verifica del tipo MIME: I file caricati vengono verificati lato server in base al tipo di file (sono ammesse solo immagini).
- Sicurezza dei token: I link al foglio di accompagnamento sono protetti con un token HMAC-SHA256 (confronto resistente agli attacchi temporali).
- Mascheramento dell’IBAN: Nel pannello di amministrazione l’IBAN è visualizzato parzialmente mascherato (sono visibili solo i primi e gli ultimi 4 caratteri).
- Crittografia: Tutte le trasmissioni di dati avvengono tramite HTTPS (TLS 1.2+).
7. Cookie e tracciamento
Il portale di acquisto utilizza senza consenso le memorizzazioni tecnicamente necessarie (la Sua scelta sui cookie e sessioni per la protezione dagli abusi e per le pagine cliente personali). I servizi opzionali sono suddivisi nelle categorie statistiche e marketing e restano disattivati fino alla Sua scelta. Vengono caricati solo nella pagina iniziale dell’acquisto e soltanto dopo che Lei ha scelto «Accetta tutti» nell’avviso sui cookie o ha attivato la categoria o il singolo servizio in «Impostazioni» (consenso, art. 6, par. 1, lett. a) GDPR). Prima del Suo consenso non viene caricato alcuno script di Google né inviata alcuna misurazione a Google:
- Statistiche – Google Analytics: misurazione dell’audience e analisi dell’utilizzo del portale di acquisto.
- Marketing – Google Ads: misurazione delle richieste provenienti da annunci (monitoraggio delle conversioni) e remarketing.
- Marketing – Reddit Pixel tramite Google Tag Manager: misurazione delle campagne pubblicitarie; Google Tag Manager viene caricato solo se sono consentiti anche le statistiche e Google Ads.
Quali di questi servizi sono attualmente offerti è indicato nelle «Impostazioni cookie», con fornitore, finalità, dati trattati, durata di conservazione e destinatari di ciascun servizio; un servizio non elencato lì non viene caricato. Nelle pagine cliente con link personali (ad esempio la conferma della ricevuta o una controfferta) non carichiamo alcun servizio opzionale. Non trasmettiamo a nessuno di questi servizi il nome, l’indirizzo e-mail, il numero di telefono né l’indirizzo postale del modulo di acquisto.
Il fornitore dei servizi Google è Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda; il Reddit Pixel proviene da Reddit. Questi servizi memorizzano sul Suo dispositivo cookie o identificatori simili (ad esempio _ga, _gcl_au, _rdt_uuid), la cui durata è stabilita dal rispettivo fornitore, e trasmettono dati di utilizzo al fornitore; è possibile un trattamento negli Stati Uniti. Con «Solo necessari» questi servizi non vengono caricati. Può modificare la Sua scelta in qualsiasi momento tramite «Impostazioni cookie» in fondo alla pagina di acquisto. Dopo una revoca non ci rivolgiamo più ai servizi interessati e cerchiamo di eliminare i loro cookie per il nostro dominio; il Suo browser può tuttavia conservarne alcuni. Se uno di questi servizi era già attivo sulla pagina, questa viene ricaricata. Anche le altre pagine aperte applicano la revoca; se una di esse contiene dati inseriti e non ancora inviati, non viene ricaricata e i servizi già attivi vi terminano solo al successivo caricamento della pagina. La Sua scelta viene salvata nel Suo browser; dopo un anno Le chiediamo di nuovo.
Vengono utilizzati i seguenti meccanismi di memorizzazione tecnicamente necessari:
| Nome | Finalità | Tipo | Durata |
|---|---|---|---|
| tm24_cookie_consent (localStorage di questo sito) | Memorizza la Sua scelta nelle impostazioni dei cookie e il relativo momento | Tecnicamente necessario | Valido un anno; poi Le chiediamo di nuovo |
| tm24_consent_withdrawn (cookie di questo sito) | Memorizza solo il momento di una revoca se il browser non può né salvare né cancellare la scelta dei cookie | Tecnicamente necessario | 1 anno |
7a. Prova tecnica della sua richiesta di vendita
Quando la sua richiesta di vendita ci perviene correttamente, oltre alle sue dichiarazioni, alla loro versione e al relativo momento, conserviamo una prova tecnica della chiamata: l’indirizzo IP da cui è partita la connessione al nostro server e la stringa User-Agent che il suo browser trasmette con la chiamata (integralmente fino a una lunghezza di 8 kilobyte; una stringa più lunga viene troncata e contrassegnata come tale). Se davanti al nostro server è attivo un servizio tecnico intermedio, questo indirizzo può essere quello del servizio intermedio; conserviamo il suo indirizzo IP solo se può essere determinato in modo affidabile, altrimenti lo registriamo come sconosciuto. Dalla stringa User-Agent ricaviamo informazioni su browser, sistema operativo e dispositivo solo nella misura in cui la stringa le rende riconoscibili in modo affidabile; le informazioni non riconoscibili o ambigue restano sconosciute. Queste informazioni non costituiscono un accertamento sicuro della sua identità né del suo dispositivo effettivo. Proteggiamo questa prova, insieme alle sue dichiarazioni e al nome e all’indirizzo e-mail indicati nella richiesta, da modifiche non rilevate.
Utilizziamo questa prova per attribuire la sua richiesta, per chiarire operazioni concretamente contestate nonché per accertare, esercitare o difendere un diritto in sede giudiziaria. La base giuridica è l’art. 6, par. 1, lett. f), GDPR; il nostro legittimo interesse è la tutela tracciabile di tali richieste. Non utilizziamo le informazioni per pubblicità, analisi o per seguire il suo utilizzo su siti o dispositivi diversi; l’analisi avviene presso di noi, senza trasmissione a un servizio di riconoscimento aggiuntivo. Vi hanno accesso solo i collaboratori autorizzati competenti e il nostro fornitore di hosting (punto 4); in caso di controversia concreta, eventualmente i destinatari necessari per la sua gestione legale, come consulenti legali o tribunali.
Cancelliamo l’indirizzo IP, la stringa User-Agent e le informazioni da essa ricavate allo scadere di tre anni civili a decorrere dalla fine dell’anno della richiesta. Solo se restano necessari per una concreta controversia legale conserviamo più a lungo i dati interessati, dopo un nuovo esame, e li cancelliamo non appena viene meno il motivo. Nei backup i dati restano presenti fino alla loro sovrascrittura; se un backup viene ripristinato, ripetiamo le cancellazioni effettuate in precedenza prima che i dati vengano nuovamente utilizzati. Conserviamo le sue dichiarazioni e gli altri documenti dell’ordine secondo il punto 5. I suoi diritti di cui al punto 8, in particolare il diritto di opposizione ai sensi dell’art. 21 GDPR, restano invariati.
8. I Suoi diritti (artt. 15–22 GDPR)
Lei ha in qualsiasi momento diritto a:
- Accesso ai Suoi dati memorizzati (art. 15 GDPR)
- Rettifica dei dati inesatti (art. 16 GDPR)
- Cancellazione dei Suoi dati, salvo obblighi legali di conservazione (art. 17 GDPR)
- Limitazione del trattamento (art. 18 GDPR)
- Portabilità dei dati (art. 20 GDPR)
- Opposizione a un trattamento basato su legittimi interessi (art. 21 GDPR)
Per esercitare i Suoi diritti, si rivolga a:
Telemobile24 GmbH
E-mail: ankauf@tm24.de
Telefono: +49 162 7005526
Schlehenweg 16, 65321 Heidenrod
9. Diritto di reclamo
Ha il diritto di proporre reclamo presso la competente autorità di controllo per la protezione dei dati:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (Commissario dell’Assia per la protezione dei dati e la libertà d’informazione – autorità di controllo)
Gustav-Stresemann-Ring 1, 65189 Wiesbaden
Telefono: 0611 1408-0
datenschutz.hessen.de
Telemobile24 GmbH · Amministratore: Rochdi Chebbi
Schlehenweg 16, 65321 Heidenrod · ankauf@tm24.de · +49 162 7005526
HRB 32432, AG Wiesbaden · P.IVA: DE342487751