Informativa sulla privacy di CardzHub

BOZZA v0.3 — da rivedere con un consulente prima del lancio. Ultimo aggiornamento: 13 novembre 2026.

1. Titolare del trattamento

Bring di Paolo Meazzini (ditta individuale), P.IVA 06400560485, sede [INDIRIZZO]. Contatto privacy: [EMAIL PRIVACY].

2. Quali dati trattiamo

Account: email, password (conservata in forma cifrata dal nostro fornitore di autenticazione), username, eventuale bio, e — se accedi con Google — nome, email e foto profilo forniti da Google.
Annunci e contenuti: titoli, descrizioni, prezzi, foto che carichi, numeri di certificato delle carte gradate, offerte, messaggi, proposte di scambio, recensioni e segnalazioni.
Ordini e spedizioni: indirizzo di consegna e, per chi vende, indirizzo da cui spedisce, nome, telefono, dimensione del pacco, dati di spedizione, etichette e tracking.
Bozze: gli annunci salvati come bozza (testi e foto) sono visibili solo a te.
Pagamenti: i dati della carta o del conto sono trattati direttamente dal partner di pagamento; CardzHub non li vede né li conserva. Conserviamo solo l'esito, gli importi e gli identificativi delle operazioni.
Uso del servizio: quali annunci apri (per le statistiche di visualizzazione del venditore e per personalizzare il feed), ricerche recenti, preferiti, utenti che segui, cronologia di vendite, acquisti e scambi, preferenze (lingua, notifiche email, feed personalizzato) e se hai completato il tutorial iniziale.
Dati tecnici: indirizzo IP, tipo di dispositivo/browser e log di sicurezza, necessari al funzionamento e alla prevenzione degli abusi.

3. Perché e su quale base giuridica

Finalità	Base giuridica
Creare e gestire l'account, pubblicare annunci, offerte, chat, scambi	Esecuzione del contratto (art. 6.1.b GDPR)
Pagamenti, spedizioni, cauzioni, gestione di contestazioni e rimborsi	Esecuzione del contratto
Sicurezza, antifrode, verifica dei certificati e moderazione	Legittimo interesse (art. 6.1.f)
Obblighi fiscali e di legge (es. comunicazione dei dati dei venditori, DAC7)	Obbligo di legge (art. 6.1.c)
Comunicazioni di servizio (conferme, notifiche in app e via email di offerte, scambi, follower, vendite, recensioni)	Esecuzione del contratto
Statistiche di visualizzazione degli annunci, mostrate al venditore	Esecuzione del contratto / legittimo interesse
Feed personalizzato (ordinamento degli annunci in base a giochi, espansioni, ricerche e preferiti)	Legittimo interesse (art. 6.1.f) con possibilità di opposizione in ogni momento: disattiva «Feed personalizzato» in Profilo → Impostazioni [da confermare con il consulente se serva il consenso preventivo]

Personalizzazione. Per ordinare il feed memorizziamo solo punteggi aggregati (giochi, espansioni e tipi di prodotto che guardi, parole delle ultime ricerche): non memorizziamo la cronologia completa di navigazione. I dati sono salvati sul tuo dispositivo e, se hai un account, anche nel tuo profilo, così ti seguono su altri dispositivi. Non comportano decisioni automatizzate con effetti giuridici su di te. Se disattivi la personalizzazione li cancelliamo. Non facciamo marketing o pubblicità mirata senza il tuo consenso e non vendiamo i tuoi dati.

Statistiche di visualizzazione. Registriamo che un utente (o un dispositivo, tramite un identificativo casuale non collegato alla tua identità) ha aperto un annuncio, al massimo una volta al giorno. Al venditore mostriamo solo il numero totale, mai chi ha visto l'annuncio.

Email di servizio. Inviamo le email tramite Resend; puoi disattivarle da Profilo → Impostazioni.

4. Lettura automatica del certificato (OCR)

Quando carichi la foto dell'etichetta di una carta gradata, il numero di certificato viene letto direttamente nel tuo dispositivo/browser: l'immagine non è inviata a servizi esterni per questa lettura. L'immagine viene poi caricata come foto dell'annuncio.

5. Con chi li condividiamo

Supabase (database, autenticazione, archiviazione foto) — infrastruttura in UE (Francoforte).
Vercel (hosting del sito).
Resend (invio delle email di servizio).
Google (solo se scegli «Continua con Google»: il pulsante carica uno script di Google).
Stripe (pagamenti e verifica d'identità dei venditori), Sendcloud (piattaforma di spedizione) e i corrieri (attualmente InPost e Poste Italiane), per eseguire pagamenti e spedizioni.
OpenStreetMap / MapTiler (mappe dei punti di ritiro): quando apri la mappa, il tuo browser carica le tessere della mappa da questi fornitori, che possono vedere il tuo indirizzo IP.
Altri utenti: il tuo username, le tue recensioni e il contenuto dei tuoi annunci sono pubblici. Indirizzo e telefono sono condivisi solo con il corriere e solo per la consegna.
Autorità, quando previsto dalla legge. Alcuni fornitori possono trattare dati fuori dallo Spazio Economico Europeo con le garanzie previste dal GDPR (clausole contrattuali standard o decisioni di adeguatezza).

6. Per quanto tempo

Account e contenuti: finché il conto è attivo; dopo la chiusura cancelliamo o anonimizziamo i dati, salvo quelli che dobbiamo conservare per legge (es. dati di ordini e fiscali, fino a 10 anni) o per gestire contestazioni in corso.
Log di sicurezza: per un periodo limitato [da definire].
Registro delle visualizzazioni: conservato in forma tecnica non collegata all'identità per un periodo limitato [da definire, es. 12 mesi]; il contatore totale resta sull'annuncio.
Interessi del feed personalizzato: finché l'opzione è attiva; cancellati subito se la disattivi o chiudi l'account.

7. Cookie e archiviazione locale

Usiamo strumenti tecnici (ad es. la sessione di accesso e la lingua scelta nel tuo browser) e un archivio locale per le preferenze di personalizzazione (interessi del feed e identificativo casuale del dispositivo per contare le visualizzazioni). Non usiamo cookie di profilazione né di tracciamento pubblicitario di terzi. [Valutare con il consulente se mostrare un avviso/consenso per l'archivio locale di personalizzazione.] Se in futuro aggiungeremo strumenti di analisi o marketing, aggiorneremo questa informativa e chiederemo il consenso.

8. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opporti al trattamento e revocare il consenso (dove dato), scrivendo a [EMAIL PRIVACY]. Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

9. Minori

Il servizio è riservato a maggiorenni (18 anni).

10. Modifiche

Pubblicheremo qui gli aggiornamenti e, se sostanziali, te li comunicheremo in app o via email.