Privacy Policy
Come trattiamo i tuoi dati personali.
Ecosfy — ecosfy.com
Versione 1.0 — in vigore dal 15 settembre 2026
Resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.lgs. 30 giugno 2003 n. 196 come modificato dal D.lgs. 101/2018 (Codice Privacy).
Indice
- Chi tratta i tuoi dati
- Quali dati raccogliamo
- Perché li trattiamo e con quale base giuridica
- Decisioni automatizzate
- Con chi li condividiamo
- Dove vanno i tuoi dati
- Per quanto tempo li conserviamo
- Come li proteggiamo
- Che cosa puoi scegliere
- I tuoi diritti
- Minori
- Modifiche a questa informativa
1. Chi tratta i tuoi dati
Titolare del trattamento
ECOSFY S.R.L.
Contrada Castelluccio 1, 86020 Fossalto (CB), Italia
Codice fiscale e partita IVA 01949840704 — REA CB-220420
PEC: ecosfy@pec.it
E-mail: info@ecosfy.com
Responsabile della protezione dei dati. Non abbiamo nominato un Responsabile della protezione dei dati (DPO), non ricorrendo le condizioni dell'articolo 37 del GDPR. Per qualunque questione relativa ai tuoi dati personali puoi scrivere a info@ecosfy.com: la richiesta viene gestita direttamente dal Titolare.
Quando non siamo noi il titolare. Alcuni soggetti trattano i tuoi dati per finalità proprie e sono titolari autonomi: in particolare Stripe per i servizi di pagamento, FAMA S.r.l. e i vettori per la spedizione, e gli altri utenti per quanto riguarda i dati che condividi con loro durante una transazione. Su questi trattamenti non abbiamo potere di determinazione: trovi i riferimenti al punto 5.
2. Quali dati raccogliamo
2.1 Dati che ci fornisci tu
| Quando | Che cosa |
|---|---|
| Registrazione | Indirizzo e-mail, nome utente, password (che conserviamo solo in forma cifrata non reversibile) |
| Completamento del profilo | Nome e cognome, foto del profilo, descrizione, preferenze di taglia, città |
| Pubblicazione di un annuncio | Fotografie dell'oggetto, descrizione, categoria, taglia, condizioni, prezzo |
| Acquisto o vendita | Indirizzo di spedizione, indirizzo di fatturazione, numero di telefono se richiesto dal vettore |
| Comunicazioni | Messaggi scambiati con altri utenti, recensioni, segnalazioni, richieste di assistenza e relativi allegati |
| Obblighi fiscali (DAC7) | Codice fiscale, data di nascita, indirizzo di residenza, partita IVA se ne hai una, estremi del conto su cui ricevi gli accrediti |
| Esercizio dei tuoi diritti | I dati contenuti nella richiesta e, quando serve per identificarti con certezza, un documento di identità |
2.2 Dati che raccogliamo automaticamente
- Dati di connessione e di sicurezza: indirizzo IP, data e ora delle richieste, pagine richieste, esito delle richieste, tipo di browser e sistema operativo, identificativi tecnici di sessione. Sono generati dal funzionamento stesso della rete e dai sistemi di protezione perimetrale.
- Dati di utilizzo: annunci visualizzati, ricerche effettuate, oggetti salvati, azioni compiute sul Sito.
- Cookie tecnici: vedi l'Informativa sui cookie. Sul Sito non sono presenti cookie di profilazione, né pixel pubblicitari, né strumenti di analisi che operano nel tuo browser.
2.3 Dati che riceviamo da terzi
- Da Stripe: esito del pagamento, stato dell'operazione, identificativo della transazione, esito dei controlli antifrode e di verifica dell'identità. Non riceviamo e non conserviamo il numero completo della tua carta, la data di scadenza e il codice di sicurezza.
- Da FAMA S.r.l. (Paccofacile.it) e dai vettori: stato della spedizione, eventi di tracciamento, esito della consegna, eventuali segnalazioni di danno o smarrimento.
- Da altri utenti: segnalazioni che ti riguardano, recensioni, contenuti dei messaggi.
3. Perché li trattiamo e con quale base giuridica
3.1 Far funzionare Ecosfy
| Finalità | Dati | Base giuridica |
|---|---|---|
| Creare e gestire il tuo Account, autenticarti, mantenere la sessione | Identificativi, credenziali, dati di connessione | Esecuzione del contratto — art. 6.1.b GDPR |
| Pubblicare i tuoi annunci e mostrarli nel catalogo | Contenuti dell'annuncio, nome utente, città | Esecuzione del contratto — art. 6.1.b |
| Consentirti di comprare e vendere e gestire la transazione | Identificativi, dati dell'ordine, indirizzo di spedizione | Esecuzione del contratto — art. 6.1.b |
| Gestire il pagamento tramite il fornitore incaricato | Dati dell'ordine, identificativo della transazione | Esecuzione del contratto — art. 6.1.b |
| Generare l'etichetta di spedizione e tracciare il collo | Nome, indirizzo, telefono, dati del collo | Esecuzione del contratto — art. 6.1.b |
| Far comunicare acquirente e venditore tramite la chat | Contenuto dei messaggi, identificativi | Esecuzione del contratto — art. 6.1.b |
| Inviarti le e-mail di servizio (conferme, avvisi, notifiche di sistema) | Indirizzo e-mail, dati dell'operazione | Esecuzione del contratto — art. 6.1.b |
| Applicare la Protezione Acquisti e gestire le contestazioni | Dati dell'ordine, messaggi, fotografie, esiti del vettore | Esecuzione del contratto — art. 6.1.b |
| Rispondere alle richieste di assistenza | Contenuto della richiesta, dati di contatto | Esecuzione del contratto (se sei un utente) — art. 6.1.b; legittimo interesse a rispondere a chi ci scrive senza essere utente — art. 6.1.f |
3.2 Proteggere te, gli altri utenti e noi
| Finalità | Dati | Base giuridica |
|---|---|---|
| Prevenire e individuare frodi, truffe, furti di account, tentativi di pagamento illecito | Dati di connessione, comportamenti d'uso, dati dell'ordine, esiti dei controlli Stripe | Legittimo interesse alla sicurezza della piattaforma e alla tutela degli utenti — art. 6.1.f |
| Proteggere il Sito da attacchi, accessi automatizzati, sovraccarichi e scraping | Indirizzo IP, dati di richiesta, identificativi tecnici antibot | Legittimo interesse alla continuità e alla sicurezza del servizio — art. 6.1.f |
| Individuare e rimuovere contenuti illeciti o contrari ai Termini, anche con controlli automatici | Contenuti degli annunci, messaggi, segnalazioni | Obbligo legale — art. 6.1.c, in relazione al Regolamento (UE) 2022/2065; legittimo interesse alla sicurezza del servizio — art. 6.1.f |
| Gestire le segnalazioni, motivare le decisioni e trattare i riesami | Dati della segnalazione, dati dell'utente segnalato, corrispondenza | Obbligo legale — art. 6.1.c (artt. 16 e 17 del Regolamento UE 2022/2065) |
| Applicare le misure correttive e impedire il rientro di account bloccati | Identificativi, cronologia delle violazioni | Legittimo interesse a far rispettare i Termini — art. 6.1.f |
| Segnalare all'autorità i sospetti di reato che minacciano la vita o la sicurezza delle persone | Dati pertinenti al caso | Obbligo legale — art. 6.1.c (art. 18 del Regolamento UE 2022/2065) |
Il nostro legittimo interesse, in concreto. Prima di fondare un trattamento sul legittimo interesse valutiamo se prevalgono i tuoi diritti. Nei casi sopra abbiamo ritenuto prevalente l'interesse alla sicurezza perché: i dati usati sono minimi e in gran parte tecnici, il trattamento è indispensabile per impedire truffe che colpirebbero gli utenti stessi, e i tempi di conservazione sono limitati. Puoi opporti in qualsiasi momento secondo il punto 10; valuteremo la tua posizione specifica.
3.3 Adempiere agli obblighi di legge
| Finalità | Dati | Base giuridica |
|---|---|---|
| Emettere e conservare i documenti contabili e fiscali | Dati identificativi e fiscali, dati dell'operazione | Obbligo legale — art. 6.1.c (art. 2220 c.c., D.P.R. 633/1972, D.P.R. 600/1973) |
| Raccogliere, verificare e comunicare all'Agenzia delle Entrate i dati dei venditori (DAC7) | Nome, indirizzo, codice fiscale, data di nascita, partita IVA, numero e valore delle operazioni, commissioni, estremi del conto | Obbligo legale — art. 6.1.c (Direttiva UE 2021/514; D.lgs. 32/2023) |
| Rispondere a richieste legittime di autorità giudiziarie, forze dell'ordine e autorità amministrative | Dati pertinenti alla richiesta | Obbligo legale — art. 6.1.c |
Sulla DAC7. La comunicazione riguarda i venditori che, nell'anno solare, hanno effettuato almeno 30 vendite di beni oppure hanno percepito un corrispettivo complessivo superiore a 2.000 euro. Chi resta sotto entrambe le soglie è un "venditore escluso" e non viene comunicato. Ti informiamo delle informazioni che ti riguardano entro il 31 gennaio dell'anno successivo a quello di riferimento.
3.4 Migliorare il servizio
| Finalità | Dati | Base giuridica |
|---|---|---|
| Misurare l'andamento tecnico del Sito (tempi di risposta, errori, carichi) e migliorarlo | Log applicativi e di infrastruttura, in forma aggregata o pseudonimizzata | Legittimo interesse al buon funzionamento del servizio — art. 6.1.f |
| Analizzare in forma aggregata l'uso delle funzioni per decidere che cosa sviluppare | Dati di utilizzo aggregati | Legittimo interesse allo sviluppo del prodotto — art. 6.1.f |
La rilevazione avviene esclusivamente lato server, a partire dai log che il Sito genera per il proprio funzionamento. Non installiamo nel tuo browser strumenti di misurazione, non tracciamo la tua navigazione su altri siti e non costruiamo profili pubblicitari.
3.5 Comunicazioni promozionali
| Finalità | Dati | Base giuridica |
|---|---|---|
| Inviarti newsletter e comunicazioni su novità e iniziative di Ecosfy | Indirizzo e-mail, nome utente | Consenso — art. 6.1.a, prestato in modo libero e revocabile |
Il consenso è facoltativo, è disattivato per impostazione predefinita e non condiziona in alcun modo l'uso del Sito. Puoi revocarlo in qualsiasi momento dalle impostazioni del profilo o dal link presente in fondo a ogni comunicazione: la revoca ha effetto immediato e non pregiudica la liceità di quanto inviato prima.
Le e-mail di servizio — conferma di registrazione, conferma d'ordine, avvisi di spedizione, comunicazioni sulle misure adottate, avvisi di sicurezza, modifiche ai Termini — non sono comunicazioni promozionali: sono necessarie all'esecuzione del contratto e non possono essere disattivate finché hai un Account attivo.
3.6 Tutelare i nostri diritti
| Finalità | Dati | Base giuridica |
|---|---|---|
| Accertare, esercitare o difendere un diritto in sede giudiziaria o stragiudiziale | Dati pertinenti alla controversia | Legittimo interesse alla difesa — art. 6.1.f; art. 9.2.f GDPR ove pertinente |
| Gestire operazioni societarie straordinarie (cessione, fusione, conferimento del ramo d'azienda) | Dati necessari alla due diligence, in forma minimizzata | Legittimo interesse alla continuità aziendale — art. 6.1.f |
4. Decisioni automatizzate
Usiamo controlli automatici in due ambiti: la moderazione dei contenuti pubblicati e la prevenzione delle frodi. Questi controlli possono segnalare un annuncio, sospendere temporaneamente un'operazione o limitare una funzione.
Come lo gestiamo. Nessuna decisione che produce effetti giuridici su di te o incide in modo analogo in maniera significativa — in particolare il blocco definitivo dell'Account e il rifiuto definitivo di un rimborso — è adottata unicamente sulla base di un trattamento automatizzato. C'è sempre l'intervento di una persona prima che una misura di questo tipo diventi definitiva.
Che cosa puoi fare. Hai diritto di ottenere l'intervento umano, di esprimere la tua posizione e di contestare la decisione. Scrivi a info@ecosfy.com indicando il riferimento contenuto nella comunicazione che hai ricevuto. Il procedimento di riesame è descritto all'articolo 9 dei Termini e Condizioni.
5. Con chi li condividiamo
5.1 Altri utenti
Quando pubblichi un annuncio, sono visibili pubblicamente: nome utente, foto del profilo, città se l'hai indicata, contenuto e fotografie dell'annuncio, recensioni ricevute, data di iscrizione. Quando concludi una transazione, l'altra parte riceve i dati necessari alla consegna: nome e cognome e indirizzo di spedizione. Non mostriamo mai il tuo indirizzo e-mail, il tuo numero di telefono e i tuoi dati fiscali ad altri utenti.
5.2 Fornitori che trattano dati per nostro conto (responsabili ex art. 28 GDPR)
| Fornitore | Che cosa fa | Sede |
|---|---|---|
| Laravel Holdings, Inc. (Laravel Cloud) | Piattaforma di hosting e gestione dell'applicazione | Stati Uniti, con infrastruttura e dati a riposo in regione europea |
| Amazon Web Services EMEA SARL | Infrastruttura cloud sottostante (calcolo, database, archiviazione) | Lussemburgo, con data center nell'Unione europea |
| Cloudflare, Inc. | Rete di distribuzione dei contenuti, protezione da attacchi e da traffico automatizzato | Stati Uniti, con nodi di rete distribuiti |
| Twilio Inc. — SendGrid | Invio delle e-mail di servizio | Stati Uniti |
| FAMA S.r.l. (Paccofacile.it) | Generazione delle etichette di spedizione, per la parte svolta su nostra istruzione | Via dell'Industria 4, 04011 Aprilia (LT), Italia |
Tutti i responsabili sono vincolati da un accordo ai sensi dell'articolo 28 del GDPR e possono trattare i dati soltanto secondo le nostre istruzioni.
5.3 Soggetti che trattano dati per finalità proprie (titolari autonomi)
| Soggetto | Che cosa fa | Sede | Dove leggere la sua informativa |
|---|---|---|---|
| Stripe Payments Europe, Ltd. | Servizi di pagamento, verifica dell'identità, controlli antiriciclaggio e antifrode | 1 Grand Canal Street Lower, Grand Canal Dock, Dublino D02 H210, Irlanda | stripe.com/it/privacy |
| FAMA S.r.l. (Paccofacile.it) | Esecuzione del mandato di spedizione in qualità di spedizioniere | Aprilia (LT), Italia | paccofacile.it/privacy-policy |
| Vettori selezionati tramite Paccofacile.it | Trasporto e consegna del collo | Varie, in Italia e nell'Unione europea | Informativa del singolo vettore |
5.4 Altri destinatari
- Professionisti e consulenti: commercialista, consulenti del lavoro, avvocati, revisori, vincolati da obblighi di riservatezza e, dove ricorre, nominati responsabili.
- Autorità pubbliche: Agenzia delle Entrate per gli obblighi DAC7 e fiscali; autorità giudiziarie e forze dell'ordine su richiesta legittima; AGCOM in qualità di coordinatore dei servizi digitali; Garante per la protezione dei dati personali.
- Aventi causa: in caso di operazione societaria straordinaria, il soggetto acquirente, con impegno a rispettare questa informativa.
Non vendiamo i tuoi dati personali e non li cediamo a terzi per finalità di marketing.
6. Dove vanno i tuoi dati
I dati sono archiviati su infrastruttura situata nell'Unione europea.
Alcuni fornitori sono stabiliti negli Stati Uniti e possono accedere ai dati per finalità di amministrazione e assistenza tecnica: si tratta di Laravel Holdings, Inc., Cloudflare, Inc. e Twilio Inc. In questi casi il trasferimento avviene sulla base delle clausole contrattuali tipo adottate dalla Commissione europea con decisione di esecuzione (UE) 2021/914, integrate — dove il fornitore risulti iscritto all'elenco dei soggetti certificati — dalla decisione di adeguatezza sull'EU-U.S. Data Privacy Framework del 10 luglio 2023. Adottiamo inoltre misure supplementari quali la cifratura dei dati in transito e a riposo e la limitazione degli accessi.
Puoi chiederci copia delle garanzie adottate scrivendo a info@ecosfy.com.
7. Per quanto tempo li conserviamo
| Dato | Per quanto |
|---|---|
| Dati dell'Account | Per tutta la durata del rapporto |
| Dati dell'Account dopo la chiusura | 30 giorni, per permetterti un ripensamento; poi cancellati o resi anonimi, salvo le eccezioni sotto |
| Annunci pubblicati | Finché sono online; dopo la rimozione, 6 mesi |
| Messaggi in chat | Per tutta la durata del rapporto; 12 mesi dalla chiusura di un'eventuale contestazione |
| Recensioni | Restano visibili in forma disgiunta dai tuoi dati identificativi anche dopo la chiusura dell'Account, perché riguardano la reputazione della controparte |
| Dati dell'ordine e della spedizione | 12 mesi dalla conclusione della transazione, per la gestione delle contestazioni |
| Documenti contabili e fiscali | 10 anni dalla registrazione dell'operazione |
| Dati DAC7 e relativa documentazione | Fino al 31 dicembre del quinto anno successivo a quello in cui la comunicazione è stata o avrebbe dovuto essere effettuata |
| Log di accesso e di sicurezza | 6 mesi |
| Log degli amministratori di sistema | 12 mesi, ai sensi del provvedimento del Garante del 27 novembre 2008 |
| Segnalazioni, misure correttive e riesami | 24 mesi dalla chiusura del procedimento |
| Documenti di identità acquisiti per verificare una richiesta | 30 giorni dalla verifica |
| Richieste di esercizio dei diritti e relativo esito | 3 anni, come prova dell'adempimento |
| Consenso alle comunicazioni promozionali e sua revoca | 5 anni dalla revoca, come prova della corretta gestione |
| Dati utili alla difesa di un diritto | Fino alla definizione della controversia e per il periodo di prescrizione, comunque non oltre 10 anni |
Al termine del periodo i dati sono cancellati o resi definitivamente anonimi. Le copie di backup seguono cicli di sovrascrittura periodica e si esauriscono entro 30 giorni.
8. Come li proteggiamo
Misure tecniche. Cifratura del traffico in transito tramite TLS; cifratura dei dati a riposo; conservazione delle password con funzioni di derivazione non reversibili; segregazione degli ambienti di produzione, collaudo e sviluppo; protezione perimetrale contro attacchi di rete e traffico automatizzato; aggiornamento regolare delle componenti software; registrazione degli accessi amministrativi; backup periodici con verifica del ripristino.
Misure organizzative. Accesso ai dati limitato a chi ne ha necessità per la propria funzione; autorizzazioni scritte e vincoli di riservatezza per chi opera sotto la nostra autorità; istruzioni documentate ai responsabili del trattamento; procedura di gestione degli incidenti con valutazione dell'obbligo di notifica al Garante entro 72 ore e di comunicazione agli interessati nei casi previsti dagli articoli 33 e 34 del GDPR.
Il tuo ruolo. Usa una password lunga e diversa da quelle che usi altrove, non condividerla, non pubblicare dati personali nelle fotografie o nelle descrizioni degli annunci, e non spostare la conversazione fuori dal Sito. Nessuna misura di sicurezza elimina del tutto il rischio: la prudenza su quello che condividi resta la protezione più efficace.
9. Che cosa puoi scegliere
- Che cosa pubblicare. Foto del profilo, descrizione, città e preferenze di taglia sono facoltative. Puoi rimuoverle in qualunque momento.
- Comunicazioni promozionali. Si attivano solo se dai il consenso e si disattivano quando vuoi, dalle impostazioni o dal link in fondo alla comunicazione.
- Cookie. Il Sito usa soltanto cookie tecnici. Puoi comunque gestirli dal tuo browser: vedi l'Informativa sui cookie.
- Chiudere l'Account. Puoi farlo in qualsiasi momento dalle impostazioni del profilo. Restano conservati solo i dati per cui abbiamo un obbligo di legge o una necessità di difesa, nei termini indicati al punto 7.
10. I tuoi diritti
Puoi esercitare in qualsiasi momento i diritti previsti dagli articoli 15-22 del GDPR:
- Accesso: sapere se trattiamo tuoi dati e ottenerne copia.
- Rettifica: correggere dati inesatti o completare dati incompleti.
- Cancellazione: ottenere la cancellazione nei casi previsti dall'articolo 17.
- Limitazione: chiedere che i dati siano solo conservati, nei casi dell'articolo 18.
- Portabilità: ricevere in formato strutturato e leggibile da dispositivo automatico i dati che ci hai fornito e che trattiamo sulla base del contratto o del consenso, e chiederne la trasmissione ad altro titolare se tecnicamente possibile.
- Opposizione: opporti ai trattamenti fondati sul legittimo interesse, indicando la tua situazione particolare. Se ti opponi alle comunicazioni promozionali, interrompiamo subito e senza valutare alcunché.
- Revoca del consenso: in qualsiasi momento, senza pregiudizio per la liceità del trattamento già effettuato.
- Decisioni automatizzate: ottenere l'intervento umano, esprimere la tua posizione e contestare la decisione.
Come si esercitano. Scrivi a info@ecosfy.com oppure alla PEC ecosfy@pec.it. Rispondiamo senza ingiustificato ritardo e comunque entro un mese, prorogabile di due mesi per richieste complesse, dandotene comunicazione motivata. L'esercizio dei diritti è gratuito; possiamo chiedere un contributo o rifiutare solo in caso di richieste manifestamente infondate o eccessive, in particolare ripetitive. Se abbiamo dubbi fondati sulla tua identità possiamo chiederti ulteriori informazioni: in tal caso i termini decorrono dall'identificazione.
Reclamo al Garante. Se ritieni che il trattamento dei tuoi dati violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — centralino 06 696771 — e-mail garante@gpdp.it — PEC protocollo@pec.gpdp.it — www.garanteprivacy.it. Resta impregiudicata la facoltà di ricorrere all'autorità giudiziaria.
11. Minori
Ecosfy è riservata a chi ha compiuto 18 anni. Non raccogliamo consapevolmente dati di minori. Se veniamo a conoscenza che un Account è stato aperto da un minore, lo chiudiamo e cancelliamo i dati raccolti, salvo quanto dobbiamo conservare per obblighi di legge. Se sei un genitore o un tutore e ritieni che un minore ci abbia fornito dati, scrivici a info@ecosfy.com.
12. Modifiche a questa informativa
Possiamo aggiornare questa informativa per adeguarla a cambiamenti del servizio o della normativa. Pubblichiamo sempre sul Sito la versione aggiornata con la data di decorrenza. Se le modifiche sono sostanziali — per esempio l'introduzione di una nuova finalità o di una nuova categoria di destinatari — te lo comunichiamo via e-mail con un preavviso di almeno 30 giorni prima che diventino efficaci.
Storico delle versioni
| Versione | In vigore dal | Che cosa è cambiato |
|---|---|---|
| 1.0 | 15 settembre 2026 | Prima pubblicazione |
ECOSFY S.R.L. — Contrada Castelluccio 1, 86020 Fossalto (CB) — P.IVA e C.F. 01949840704 — REA CB-220420 — PEC ecosfy@pec.it — info@ecosfy.com