Informativa sul trattamento dei dati personali

Il titolare del trattamento è T-SHIRT ZONE DI MANNO ANTONIO, ditta individuale operante con il nome commerciale “T-Shirt Zone”, P. IVA 05592320260, sede dell'attività e recapito per reclami in Corte delle Rose 26, 31015 Conegliano (TV), Italia. Contatti: info@tshirtzone.it; PEC mannoantonio76@pec.it; telefono +39 351 475 2752.

Non è stato designato un Responsabile della protezione dei dati (DPO), non ricorrendone allo stato i presupposti obbligatori. Le richieste privacy possono essere inviate agli indirizzi sopra indicati.

Questa informativa riguarda il sito, il negozio online, il Laboratorio di personalizzazione, gli account cliente e Creator, le dashboard, il supporto, i pagamenti, le consegne e le funzioni di generazione o elaborazione di immagini.

T-Shirt Zone è il titolare per i trattamenti descritti. I fornitori tecnici trattano dati per nostro conto quando agiscono come responsabili ai sensi dell'art. 28 GDPR; alcuni soggetti, in particolare prestatori di pagamento, corrieri e autorità, possono operare quali autonomi titolari per le rispettive finalità previste dalla legge.

• Dati identificativi e di contatto: nome, e-mail, telefono, indirizzo di spedizione e dati dell'account.
• Dati dell'ordine: prodotti, taglia, colore, importi, metodo e stato del pagamento, consegna, note e comunicazioni post-vendita.
• Dati Creator: nome o denominazione, vetrina, profili social facoltativi, prodotti, vendite aggregate, crediti AI, compensi, richieste di payout e dati fiscali o bancari strettamente necessari.
• Contenuti: grafiche, loghi, fotografie, file di stampa, progetti dell'editor, prompt e output AI, metadati tecnici dei file e comunicazioni di supporto.
• Prove relative alle persone ritratte: nome ed e-mail del vendor autenticato, qualifica dichiarata, testo e versione accettati, frase di conferma, data e ora server, hash SHA-256 della fotografia e della prova digitale, identificativi tecnici pseudonimizzati, dichiarazioni del Creator, esito e note della revisione. Non richiediamo ordinariamente documenti di identità della persona ritratta.
• Dati tecnici: indirizzo IP o identificatori pseudonimizzati per sicurezza e rate limiting, user-agent, data/ora, eventi di autenticazione, log di errore e preferenze memorizzate sul dispositivo.
• Dati forniti in segnalazioni: identità, contatti, URL, motivazione e documentazione relativa a contenuti ritenuti illeciti o lesivi.

Non chiediamo categorie particolari di dati personali. L'utente non deve inserirle in note, chat, prompt, immagini o file salvo che sia strettamente necessario e lecito.

Finalità: preventivo e carrello, conclusione ed esecuzione del contratto, pagamento, produzione, controllo qualità, ritiro o consegna, assistenza, resi, garanzia, prevenzione delle frodi e gestione delle contestazioni.

Base giuridica: misure precontrattuali ed esecuzione del contratto (art. 6.1.b GDPR); obblighi legali, contabili, fiscali e di sicurezza dei prodotti (art. 6.1.c); legittimo interesse alla sicurezza, alla difesa dei diritti e alla prevenzione delle frodi (art. 6.1.f).

I dati completi della carta non vengono memorizzati da T-Shirt Zone: il pagamento online è gestito nell'ambiente del prestatore di pagamento.

Finalità: creazione e sicurezza dell'account, conferma e-mail, accesso, recupero password, mantenimento della sessione, sincronizzazione del carrello e prevenzione degli abusi.

Base giuridica: contratto o misure precontrattuali; legittimo interesse alla sicurezza del servizio. L'account è facoltativo per le funzioni che il sito rende disponibili senza registrazione.

Finalità: valutare e gestire la candidatura, pubblicare la vetrina e i Drop, produrre gli articoli, calcolare compensi e storni, effettuare payout, prevenire violazioni e adempiere a obblighi fiscali o richieste dell'autorità.

Base giuridica: esecuzione dei Termini Creator e misure precontrattuali; obblighi legali; legittimo interesse a tutela della piattaforma, dei clienti e dei titolari di diritti.

La dashboard Creator deve mostrare solo dati di vendita necessari e aggregati. I dati di contatto o spedizione dei clienti non sono destinati ai Creator, salvo un'eccezionale necessità operativa disciplinata e autorizzata.

I contenuti caricati sono trattati per creare anteprime, verificare formato e provenienza, generare o modificare immagini, produrre i capi, gestire la vetrina e conservare prova delle istruzioni ricevute. Alcuni contenuti possono essere trasmessi al fornitore AI scelto per la specifica funzione.

Per ogni fotografia esterna registriamo una dichiarazione elettronica del vendor autenticato, collegata tramite hash SHA-256 al singolo file. Se è coinvolta una persona reale, il vendor dichiara di avere ottenuto da essa un'autorizzazione preventiva, specifica e informata, di possedere i diritti fotografici e di conservare la relativa prova da esibire su richiesta. La dichiarazione del vendor non equivale alla manifestazione diretta del consenso della persona ritratta e non esonera T-Shirt Zone dal gestire segnalazioni o revoche.

Base giuridica: esecuzione dei Termini Creator; obblighi legali; legittimo interesse alla sicurezza, alla moderazione, alla prova e alla difesa dei diritti. Per l'uso dell'immagine personale resta necessaria un'idonea base giuridica presso chi acquisisce e utilizza originariamente la fotografia. È vietato caricare immagini di minori negli strumenti AI o nella vetrina e contenuti biometrici destinati a identificare univocamente una persona.

Le funzioni AI non sono utilizzate per decisioni con effetti giuridici sull'utente. Possono intervenire controlli automatizzati di sicurezza o contenuto, sempre riesaminabili tramite il supporto. Informazioni su sistemi, limiti, etichette e responsabilità sono nella Informativa sulla trasparenza AI.

La chat può essere gestita inizialmente da un assistente virtuale, chiaramente indicato nell'interfaccia, e successivamente presa in carico da un operatore. Nome, e-mail e contenuto della conversazione sono usati per fornire assistenza, rispondere alle richieste e documentare la gestione di ordini o reclami. Le conversazioni, comprese le risposte generate automaticamente, restano consultabili dal personale amministrativo autorizzato.

Per generare la risposta automatica inviamo al fornitore AI il testo della richiesta dopo una minimizzazione automatica dei principali dati personali riconoscibili e un contesto informativo pertinente. Nome ed e-mail associati alla sessione non sono inclusi nella richiesta al modello. L'utente non deve inserire in chat dati sensibili, credenziali, dati completi di pagamento o informazioni non necessarie. Le risposte automatiche possono contenere errori: per casi personali, pagamenti, contestazioni o richieste non risolte è possibile chiedere l'intervento umano.

Le e-mail di conferma account, ordine, pagamento, lavorazione, spedizione, ritiro e sicurezza sono comunicazioni necessarie al servizio e non richiedono consenso marketing.

Base giuridica: contratto, misure precontrattuali, obblighi legali e legittimo interesse a gestire, rendere disponibile e documentare correttamente l'assistenza.

La notifica relativa a uno specifico Drop viene inviata quando l'utente la richiede e usa l'e-mail solo per quella finalità. Comunicazioni promozionali ulteriori, recupero del carrello e inviti con finalità commerciale sono inviati soltanto in presenza di un consenso documentato oppure, nei limiti dell'art. 130, comma 4, del Codice Privacy, a clienti che abbiano già concluso un acquisto di prodotti analoghi, sempre con facoltà di opposizione semplice e gratuita.

Base giuridica: consenso (art. 6.1.a GDPR e art. 130 Codice Privacy) o, per il solo soft spam nei rigorosi limiti di legge, la disciplina speciale applicabile. Il consenso è facoltativo e revocabile senza effetti su ordini o account.

Trattiamo log tecnici, identificatori, tentativi di accesso ed eventi di errore per proteggere account, API, file e pagamenti, applicare limiti d'uso, diagnosticare problemi e difendere i diritti. Per quanto possibile gli identificatori usati per i limiti tecnici sono pseudonimizzati e non registriamo nei log applicativi il testo integrale dei prompt insieme all'indirizzo IP.

Base giuridica: legittimo interesse alla sicurezza e alla continuità; obblighi di sicurezza ai sensi degli artt. 5.1.f e 32 GDPR.

I dati possono essere comunicati, secondo necessità, a:

• Supabase: database, autenticazione, storage applicativo e realtime;
• Vercel: hosting dell'applicazione, rete di distribuzione e log tecnici;
• Cloudflare: storage R2, protezione e, per alcune funzioni, elaborazione AI;
• Stripe: pagamenti, prevenzione frodi, rimborsi e contestazioni;
• Resend e relativi subfornitori: consegna e tracciamento tecnico delle e-mail;
• Upstash: rate limiting e sicurezza delle funzioni AI;
• ImageRouter e, se attivato, Replicate: generazione di immagini e relativi controlli;
• Google: assistente virtuale quando configurato, Maps/Places solo dopo attivazione della funzionalità esterna da parte dell'utente e font esterni nelle funzioni dell'editor;
• corrieri, consulenti contabili, fiscali, legali, assicurativi e fornitori di assistenza nei limiti necessari;
• autorità e soggetti legittimati quando previsto dalla legge o necessario per tutelare diritti.

L'elenco dei fornitori attivi e dei relativi accordi deve essere riesaminato periodicamente; una funzione non configurata non comporta automaticamente un trasferimento a quel fornitore.

Alcuni fornitori o loro sub-responsabili possono trattare dati fuori dallo Spazio Economico Europeo. In tali casi il trasferimento avviene, secondo il servizio e la configurazione applicabile, sulla base di una decisione di adeguatezza, delle Clausole Contrattuali Standard approvate dalla Commissione europea ai sensi dell'art. 46 GDPR e, ove necessario, di misure supplementari. Informazioni o copia delle garanzie applicabili possono essere richieste al Titolare.

• Ordini e documentazione contabile/fiscale: per il periodo imposto dalla normativa applicabile, normalmente 10 anni dalla registrazione, oltre il tempo necessario a controversie o controlli.
• Account: per la durata del rapporto; dopo la chiusura restano solo i dati necessari per obblighi legali, sicurezza e difesa dei diritti.
• Carrello locale: sul dispositivo finché l'utente lo svuota o cancella i dati del browser. Il carrello cloud è sovrascritto con l'uso e cancellato con l'account o su richiesta, salvo collegamento a un ordine.
• File temporanei di checkout: normalmente eliminati automaticamente dopo 24 ore se non collegati a un ordine valido.
• File di produzione e progetti acquistati: per produzione, controllo qualità, assistenza, garanzia e gestione di contestazioni; successivamente cancellati o anonimizzati quando non più necessari. I file destinati alla vetrina restano pubblici finché il relativo Drop è online.
• Dichiarazioni digitali e audit delle immagini: per la durata della pubblicazione e successivamente per la gestione di revoche, contestazioni e difesa dei diritti, di regola non oltre 10 anni dalla cessazione dell'uso salvo procedimento pendente o obbligo di legge. Le prove respinte e non collegate a contenuti pubblicati sono riesaminate e cancellate prima, una volta esaurita ogni ragione di contestazione o sicurezza.
• Chat e ticket: per il tempo necessario a rispondere e documentare il servizio, poi sottoposti a revisione e cancellazione salvo controversie o obblighi.
• Liste di attesa: fino all'invio della notifica richiesta e per il breve tempo necessario a provarne l'invio; poi cancellazione o anonimizzazione.
• Consensi e opposizioni: per la durata del trattamento e successivamente per il tempo necessario a dimostrare la conformità e rispettare l'opposizione.
• Log tecnici: per il periodo configurato presso i fornitori e comunque non oltre quanto necessario a sicurezza, diagnosi e difesa.

I termini possono essere sospesi in caso di contestazione, ordine dell'autorità o obbligo di conservazione. I dati non necessari alla prova fiscale, come i file grafici, non sono conservati automaticamente per dieci anni solo perché associati a un ordine.

I dati contrassegnati come obbligatori sono necessari per account, contratto, pagamento, produzione o consegna; senza di essi la relativa funzione non può essere fornita. Dati social, marketing, note libere e funzioni esterne sono facoltativi. Non fornire il consenso marketing non limita acquisti, assistenza o accesso al servizio.

Account Creator, pubblicazione di contenuti, strumenti AI e payout sono riservati ai maggiorenni. Gli acquisti devono essere effettuati da un maggiorenne o con l'autorizzazione e sotto la responsabilità di chi esercita la responsabilità genitoriale. Se veniamo a conoscenza di dati raccolti in violazione di queste regole, li limiteremo o cancelleremo secondo legge.

Nei casi previsti dagli artt. 15-22 GDPR, l'interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso. Può inoltre opporsi in qualsiasi momento al marketing diretto. La revoca non pregiudica la liceità del trattamento precedente.

Le richieste vanno inviate a info@tshirtzone.it. Potremo chiedere informazioni proporzionate per verificare l'identità e risponderemo nei termini di legge. Resta il diritto di proporre reclamo al Garante per la protezione dei dati personali o di agire in giudizio.

Adottiamo misure tecniche e organizzative proporzionate al rischio, inclusi separazione degli ambienti, controllo degli accessi, autenticazione, URL firmati per asset privati, minimizzazione delle risposte API, backup e monitoraggio. Nessun sistema è assolutamente sicuro; in caso di violazione valuteremo notifica all'autorità e comunicazione agli interessati secondo gli artt. 33 e 34 GDPR.

La versione è indicata all'inizio del documento. Le modifiche sostanziali saranno comunicate con mezzi proporzionati e, quando una nuova finalità richiede consenso, non saranno applicate prima di averlo acquisito. Le versioni accettate per account, ordini e Creator sono registrate lato server.