La società ROSE Vintage Lab SAS (di seguito «ROSE» o «la Società») attribuisce un'importanza fondamentale alla protezione dei dati personali dei propri utenti. La presente Informativa sulla Privacy e Protezione dei Dati (di seguito «l'Informativa») è redatta in applicazione del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (il «RGPD»), e della legge francese n. 78-17 del 6 gennaio 1978 relativa all'informatica, agli archivi e alle libertà, nella sua versione consolidata vigente.
L'Informativa si applica a tutte le operazioni di trattamento dei dati personali effettuate da ROSE nell'ambito della gestione della propria piattaforma digitale di commercio di articoli vintage di lusso giapponesi, accessibile tramite il sito web rosevintagelab.com nonché tramite le corrispondenti applicazioni mobili iOS e Android (di seguito denominati collettivamente «la Piattaforma»).
Riguarda qualsiasi persona fisica che interagisca con la Piattaforma, sia essa un acquirente (privato o professionista europeo), un venditore (fornitore giapponese verificato), un membro del Cercle ROSE, o semplicemente un visitatore che non ha creato un account.
ROSE non cede, vende né concede in locazione a terzi i dati personali dei propri utenti per finalità commerciali. I dati raccolti sono trattati esclusivamente per le finalità descritte nella presente Informativa, nel rigoroso rispetto del principio di minimizzazione previsto dall'articolo 5, paragrafo 1, lettera c), del RGPD.
Ai sensi dell'articolo 4, paragrafo 7, del RGPD, il titolare del trattamento è la persona giuridica che determina le finalità e i mezzi del trattamento dei dati personali. Per tutti i trattamenti descritti nella presente Informativa, il titolare del trattamento è:
| Denominazione sociale | ROSE VINTAGE LAB |
| Forma giuridica | Società per Azioni Semplificata (SAS, diritto francese) |
| Capitale sociale | 30.000 euro |
| Sede legale | Domaine du Trésor, lieu-dit Le Vié, 11590 Ouveillan, Francia |
| Registro delle imprese | RCS Narbonne — 108 160 854 |
| Rappresentante legale | William Gayraud, Presidente |
| Contatto generale | contact@rosevintagelab.com |
| Contatto per i dati personali | support@rosevintagelab.com |
ROSE ha designato un referente interno per la protezione dei dati, contattabile all'indirizzo support@rosevintagelab.com, incaricato di vigilare sulla conformità dei trattamenti al RGPD e alle disposizioni nazionali applicabili, nonché di fungere da punto di contatto per l'esercizio dei diritti degli interessati.
In conformità al principio di minimizzazione dei dati sancito dall'articolo 5, paragrafo 1, lettera c), del RGPD, ROSE limita rigorosamente la raccolta ai dati personali adeguati, pertinenti e necessari rispetto alle finalità per cui sono trattati.
| Categoria | Dati trattati | Momento della raccolta |
|---|---|---|
| Identità | Nome, cognome, indirizzo email, lingua preferita | Creazione dell'account |
| Recapiti | Indirizzo/i di consegna, numero di telefono (facoltativo) | Primo ordine |
| Dati di pagamento | Solo il riferimento della transazione Stripe — ROSE non conserva alcun dato della carta di pagamento | Ad ogni ordine |
| Navigazione | Prodotti consultati, lista dei desideri, termini di ricerca, durata della navigazione | In modo continuativo, previo consenso ai cookie |
| Transazioni | Cronologia degli ordini, stati di consegna, richieste di sourcing personalizzato | Ad ogni transazione |
| Comunicazioni | Contenuto degli scambi tramite la messaggistica interna di ROSE | Ad ogni scambio |
| Cercle ROSE | Stato dell'adesione, data di attivazione, dati di abbonamento e fatturazione ricorrente | Al momento della sottoscrizione |
| Dati tecnici | Indirizzo IP, tipo di browser e dispositivo, identificativo di sessione, timestamp di connessione | Ad ogni connessione alla Piattaforma |
| Categoria | Dati trattati | Momento della raccolta |
|---|---|---|
| Identità professionale | Nome o ragione sociale, nome del rappresentante, indirizzo email professionale | Registrazione del venditore |
| Documenti KYC | Documento d'identità ufficiale, documento di registrazione commerciale giapponese, giustificativo bancario | Convalida dell'account venditore |
| Dati bancari | Informazioni bancarie necessarie per i pagamenti delle commissioni, trattate e conservate esclusivamente da Wise | Dati bancari verificati richiesti |
| Attività commerciale | Annunci creati, descrizioni e fotografie degli articoli, prezzi, cronologia delle vendite effettuate | In modo continuativo durante il rapporto commerciale |
| Comunicazioni | Scambi con ROSE tramite la messaggistica interna dedicata ai venditori | Ad ogni scambio |
ROSE non raccoglie alcun dato rientrante nelle categorie particolari di cui all'articolo 9 del RGPD, quali i dati relativi alla salute, alle opinioni politiche, alle convinzioni religiose o filosofiche, all'origine etnica o razziale, o i dati biometrici. Qualora tali dati venissero comunicati in modo non sollecitato, saranno immediatamente cancellati.
In conformità all'articolo 6 del RGPD, ogni trattamento di dati personali deve basarsi su una base giuridica. La tabella seguente elenca tutti i trattamenti effettuati da ROSE, la loro finalità specifica e il relativo fondamento giuridico applicabile.
| Finalità del trattamento | Base giuridica (Art. 6 RGPD) | Fondamento applicabile |
|---|---|---|
| Creazione e gestione degli account utente | Esecuzione del contratto | Art. 6(1)(b) — Necessario per la fornitura del servizio di marketplace |
| Elaborazione degli ordini e dei pagamenti | Esecuzione del contratto | Art. 6(1)(b) — Necessario per il perfezionamento delle transazioni di acquisto-vendita |
| Convalida e onboarding dei venditori | Esecuzione del contratto | Art. 6(1)(b) — Verifica dell'identità e instaurazione del rapporto commerciale |
| Assistenza post-vendita, supporto e gestione delle controversie | Esecuzione del contratto | Art. 6(1)(b) — Gestione delle richieste, dei reclami e delle procedure di reso |
| Rispetto degli obblighi contabili, fiscali e doganali | Obbligo legale | Art. 6(1)(c) — Conservazione dei dati di fatturazione; conformità IOSS e normativa doganale franco-giapponese |
| Prevenzione delle frodi e lotta alla contraffazione | Legittimo interesse | Art. 6(1)(f) — Protezione dell'integrità della Piattaforma, dei venditori e degli acquirenti da qualsiasi forma di frode o contraffazione |
| Invio di comunicazioni transazionali | Esecuzione del contratto | Art. 6(1)(b) — Conferme d'ordine, notifiche di consegna, avvisi di disponibilità della lista dei desideri |
| Gestione del programma Cercle ROSE | Esecuzione del contratto | Art. 6(1)(b) — Amministrazione dell'abbonamento premium, accesso prioritario ai Drop, fatturazione ricorrente |
| Gestione delle richieste di sourcing personalizzato | Esecuzione del contratto | Art. 6(1)(b) — Trattamento del brief dell'acquirente ai fini della ricerca di articoli specifici presso i fornitori giapponesi |
| Personalizzazione dell'esperienza utente | Consenso | Art. 6(1)(a) — Raccomandazioni basate sulla cronologia di navigazione e acquisti, attivate solo previa raccolta di un consenso libero, informato e specifico |
| Invio di notifiche push di marketing | Consenso | Art. 6(1)(a) — Avvisi relativi ai Drop e alle operazioni commerciali, nel limite di una notifica a settimana, revocabile in qualsiasi momento dalle impostazioni dell'app |
| Invio di comunicazioni commerciali per via elettronica | Consenso | Art. 6(1)(a) — Prospezione commerciale tramite newsletter, esclusivamente previo opt-in esplicito, revocabile in qualsiasi momento |
| Misurazione dell'audience e miglioramento della Piattaforma | Legittimo interesse | Art. 6(1)(f) — Analisi statistica anonimizzata del comportamento di navigazione ai fini del miglioramento continuo dei servizi |
In applicazione del principio di limitazione della conservazione previsto dall'articolo 5, paragrafo 1, lettera e), del RGPD, i dati personali sono conservati solo per il tempo strettamente necessario al conseguimento delle finalità per cui sono stati raccolti, o per adempiere agli obblighi legali e normativi vigenti.
| Categoria di dati | Periodo di conservazione attiva | Archiviazione legale |
|---|---|---|
| Dati dell'account utente | Durata dell'account + 3 anni dalla chiusura | — |
| Dati delle transazioni commerciali | Durata dell'account | 10 anni dalla chiusura dell'esercizio contabile interessato (articolo L. 123-22 del Codice di commercio francese) |
| Riferimenti delle transazioni di pagamento | 13 mesi (gestione di contestazioni e storni) | 5 anni (direttiva PSD2 e obblighi antiriciclaggio) |
| Documenti KYC dei venditori | Durata del rapporto commerciale | 5 anni dalla fine del rapporto commerciale (obblighi antiriciclaggio) |
| Dati di navigazione e tracciatori analitici | 13 mesi al massimo (raccomandazione CNIL — delibera n. 2020-091) | — |
| Comunicazioni tramite la messaggistica interna | 3 anni dall'ultima interazione | — |
| Dati di prospezione commerciale e prove del consenso | 3 anni dall'ultimo contatto attivo dell'interessato | Prova del consenso: 5 anni |
| Log di connessione e dati di sicurezza | 12 mesi (raccomandazione CNIL) | — |
| Account inattivi | Notifica inviata dopo 2 anni di inattività; cancellazione trascorso un termine di 3 anni di inattività, salvo opposizione espressa dell'utente | — |
Alla scadenza dei periodi di conservazione applicabili, i dati sono oggetto di cancellazione definitiva e irreversibile, oppure di anonimizzazione completa a fini statistici, in conformità alle linee guida della Commissione Nazionale Informatica e Libertà (CNIL).
Nell'ambito della gestione della Piattaforma, ROSE si avvale di fornitori tecnici terzi che agiscono in qualità di responsabili del trattamento ai sensi dell'articolo 4, paragrafo 8, del RGPD. Tali fornitori trattano i dati personali esclusivamente su istruzione documentata di ROSE, nel rispetto degli obblighi contrattuali formalizzati mediante accordi sul trattamento dei dati (DPA) conformi all'articolo 28 del RGPD.
ROSE non cede, vende né concede in locazione a terzi i dati personali dei propri utenti per finalità commerciali proprie di tali terzi.
Qualsiasi modifica dell'elenco dei responsabili del trattamento che comporti l'accesso a nuove categorie di dati personali sarà oggetto di un aggiornamento della presente Informativa entro trenta (30) giorni.
L'attività di ROSE implica, per sua natura transfrontaliera, flussi di dati tra l'Unione Europea, il Giappone e gli Stati Uniti. Tali trasferimenti sono effettuati nel rigoroso rispetto delle disposizioni del Capo V del RGPD.
I fornitori tecnici di ROSE stabiliti negli Stati Uniti (Stripe, Vercel, Resend, Firebase) trattano i dati nell'ambito di un quadro giuridico adeguato, costituito dai seguenti strumenti:
Nell'ambito dei rapporti commerciali con i venditori giapponesi, alcuni dati possono essere trasmessi in Giappone secondo le seguenti modalità:
Ai sensi degli articoli da 15 a 22 del RGPD, ogni persona fisica i cui dati sono trattati da ROSE dispone dei diritti elencati di seguito, esercitabili in qualsiasi momento alle condizioni previste dalla normativa applicabile.
Per esercitare uno dei diritti sopra menzionati, l'interessato invia la propria richiesta a ROSE per via elettronica all'indirizzo support@rosevintagelab.com, indicando nome, cognome e indirizzo email associato al proprio account ROSE. Per le richieste suscettibili di riguardare dati sensibili (accesso, cancellazione o portabilità), ROSE si riserva il diritto di richiedere un documento di identità.
Ai sensi dell'articolo 12, paragrafo 3, del RGPD, ROSE si impegna a fornire una risposta entro un (1) mese dal ricevimento della richiesta. Tale termine può essere prorogato di due mesi in caso di richieste complesse o numerose, dandone comunicazione all'interessato, unitamente ai motivi del ritardo, entro il termine iniziale di un mese.
Diritto di reclamo: Fatto salvo ogni altro ricorso giurisdizionale, ogni interessato che ritenga che il trattamento dei propri dati costituisca una violazione del RGPD ha il diritto di presentare un reclamo alla Commissione Nazionale Informatica e Libertà (CNIL), autorità di controllo competente in Francia — www.cnil.fr — o a qualsiasi altra autorità di controllo competente nel proprio Stato membro di residenza abituale, di lavoro o del luogo della presunta violazione.
La Piattaforma ROSE utilizza cookie e tracciatori nel rigoroso rispetto della delibera CNIL n. 2020-091 del 17 settembre 2020, che adotta linee guida relative ai cookie e ad altri tracciatori, e della relativa raccomandazione del 17 settembre 2020. Un dispositivo di raccolta del consenso, integrato in modo non invasivo nella parte inferiore dello schermo, consente all'utente di accettare o rifiutare i cookie non essenziali prima di qualsiasi installazione.
L'utente può modificare in qualsiasi momento le proprie preferenze in materia di cookie accedendo al link «Impostazioni cookie» disponibile in fondo a ogni pagina della Piattaforma, oppure configurando il proprio browser secondo le istruzioni del produttore. Il rifiuto dei cookie non essenziali non incide sull'accesso alle funzionalità principali della Piattaforma.
Ai sensi dell'articolo 32 del RGPD, ROSE adotta le misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato ai rischi presentati dai trattamenti, tenuto conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento.
| Misura di sicurezza | Descrizione |
|---|---|
| Crittografia dei flussi di dati | Tutte le comunicazioni tra i dispositivi degli utenti e i server di ROSE sono crittografate tramite il protocollo TLS 1.3 (HTTPS). L'accesso non crittografato (HTTP) viene reindirizzato automaticamente a HTTPS sull'intero dominio. |
| Crittografia dei dati a riposo | I dati archiviati nel database Supabase (PostgreSQL) sono crittografati a riposo secondo lo standard AES-256. |
| Autenticazione sicura | L'autenticazione degli utenti è gestita da Supabase Auth, basata su token JWT con durata limitata. L'autenticazione a due fattori (2FA) è disponibile per gli account utente. |
| Assenza di archiviazione di dati bancari | ROSE non conserva in alcun momento dati della carta di pagamento (numero, codice di sicurezza, data di scadenza). L'intero trattamento dei pagamenti è delegato a Stripe, fornitore certificato PCI-DSS Livello 1, il più alto livello di certificazione del settore. |
| Controllo degli accessi basato sui ruoli (RBAC) | Una rigorosa separazione dei diritti di accesso tra i profili Acquirente, Venditore e Amministratore è garantita dal meccanismo di sicurezza a livello di riga (Row Level Security — RLS) di Supabase. Nessun utente può accedere ai dati di un altro utente. |
| Hashing delle password | Le password degli utenti sono conservate in forma sottoposta a hash tramite l'algoritmo bcrypt, in conformità alle pratiche di sicurezza standard di Supabase Auth. |
| Registrazione e monitoraggio | I log di connessione e di accesso sono conservati per dodici (12) mesi al fine di consentire il rilevamento e l'analisi di eventi di sicurezza anomali. |
In caso di violazione dei dati personali suscettibile di comportare un rischio per i diritti e le libertà delle persone fisiche, ROSE si impegna a:
La Piattaforma ROSE è destinata esclusivamente a persone fisiche maggiorenni. I servizi offerti da ROSE, che comportano la realizzazione di transazioni commerciali relative ad articoli di lusso nonché la sottoscrizione di abbonamenti a pagamento, non sono accessibili a persone di età inferiore a diciotto (18) anni.
Al momento della creazione di un account, l'utente dichiara sotto la propria responsabilità di avere almeno diciotto (18) anni e di disporre della piena capacità giuridica per assumere impegni contrattuali. ROSE non raccoglie consapevolmente alcun dato personale relativo a minori. Qualora ROSE dovesse accertare che un utente è minorenne, il relativo account sarà immediatamente sospeso e i suoi dati personali cancellati senza indugio.
Ogni genitore o tutore legale a conoscenza dell'iscrizione di un minore sulla Piattaforma è invitato a informarne ROSE all'indirizzo support@rosevintagelab.com, affinché vengano adottate le misure appropriate nel più breve tempo possibile.
ROSE si riserva il diritto di modificare la presente Informativa in qualsiasi momento, in particolare in caso di modifiche legislative o normative, di evoluzione dei servizi offerti, di integrazione di nuovi responsabili del trattamento o di qualsiasi altra modifica sostanziale delle proprie pratiche in materia di trattamento dei dati personali.
Ogni modifica sostanziale dell'Informativa — intesa come una modifica delle finalità, l'introduzione di un nuovo trattamento o l'integrazione di un nuovo responsabile del trattamento stabilito al di fuori dell'Unione Europea — sarà notificata agli utenti per via elettronica almeno trenta (30) giorni prima della sua data di entrata in vigore. Le modifiche di portata minore (correzione di errori materiali, aggiornamento dei recapiti) saranno riflesse mediante l'aggiornamento della data di ultimo aggiornamento riportata in testa al documento.
La versione dell'Informativa in vigore è quella costantemente accessibile all'indirizzo rosevintagelab.com/confidentialite. La prosecuzione dell'utilizzo della Piattaforma oltre la data di entrata in vigore di una nuova versione equivale all'accettazione delle modifiche apportate. In caso di mancata accettazione, l'utente ha la facoltà di chiudere il proprio account prima di tale data.
| Versione | Data | Natura delle modifiche |
|---|---|---|
| V3.0 | 12 agosto 2026 | Versione in vigore all'apertura della Piattaforma. Fornitore dei bonifici ai fornitori: Wise, in coerenza con il Regolamento Fornitori Partner V3.0. |
Per qualsiasi domanda relativa alla presente Informativa, per esercitare uno dei propri diritti ai sensi degli articoli da 15 a 22 del RGPD, o per segnalare una preoccupazione relativa al trattamento dei propri dati personali, ogni interessato può contattare ROSE Vintage Lab attraverso i seguenti canali:
Al fine di consentire una gestione tempestiva della richiesta, si raccomanda all'interessato di indicare nome e cognome, l'indirizzo email associato al proprio account ROSE, la natura del diritto che intende esercitare e, se del caso, i dati specificamente interessati dalla richiesta. ROSE si riserva la facoltà di richiedere la produzione di una copia di un documento d'identità qualora ciò si renda necessario per verificare l'identità del richiedente, in particolare per le richieste relative all'accesso, alla cancellazione o alla portabilità dei dati.