Informativa sul trattamento dei dati personali
Versione 3 — in vigore dal 13 set 2026
(Reg. UE 2016/679 — GDPR, artt. 13 e 14)
2.1 Titolare del trattamento
NEXXST di Falconati Barbara, Via Alessandro Volta 12, 21020 Varano Borghi (VA),
Italia. P.IVA 04132920127 — REA VA-404194. PEC BARBARA.FALCONATI@PEC.IT.
Contatto per la privacy: privacy@registrotcg.com.
Non è stato nominato un DPO: l'attività non rientra nei casi in cui l'art. 37 GDPR lo rende obbligatorio.
2.2 Attenzione: questa informativa riguarda due cose diverse
Per i dati dei restauratori e dei visitatori del sito, il titolare siamo noi, ed è di questo che parla il documento presente.
Per i dati dei clienti finali che uno studio carica in Registro, il titolare è lo studio, e noi siamo il responsabile del trattamento. Quel rapporto è regolato dall'accordo al capitolo 4, non da qui. Se sei un collezionista e vuoi sapere come vengono trattati i tuoi dati, l'interlocutore è lo studio a cui hai affidato le carte, e la sua informativa è quella che lui ti ha dato.
2.3 Quali dati trattiamo, e perché
| Dati | Perché | Base giuridica | Per quanto |
|---|---|---|---|
| Nome, email, password (in forma cifrata), dati dello studio | fornire il servizio | esecuzione del contratto — art. 6.1.b | durata del contratto + 30 giorni |
| Dati di fatturazione, P.IVA, storico pagamenti | obblighi fiscali | obbligo legale — art. 6.1.c | 10 anni |
| Log tecnici, indirizzo IP, dati di accesso | sicurezza, diagnosi dei guasti | legittimo interesse — art. 6.1.f | 12 mesi |
Email a privacy@ o al supporto | risponderti | legittimo interesse — art. 6.1.f | 24 mesi |
| Email commerciali sul prodotto | informarti di novità | consenso — art. 6.1.a | fino a revoca |
| Dati di navigazione delle pagine pubbliche (pagine viste, provenienza, identificativi dei cookie) | misurare le visite e capire quali annunci portano gli studi a registrarsi | consenso — art. 6.1.a | vedi la cookie policy; revocabile in ogni momento |
Non trattiamo categorie particolari di dati (art. 9) e non prendiamo decisioni automatizzate che ti riguardino. Solo se accetti i cookie di marketing, le piattaforme pubblicitarie indicate al punto 2.4 possono usare i dati di navigazione delle pagine pubbliche per mostrare annunci di Registro.
2.4 A chi comunichiamo i dati
Solo a fornitori che ci servono per far funzionare il servizio, tutti nominati responsabili ai sensi dell'art. 28:
| Fornitore | Cosa fa | Dove stanno i dati |
|---|---|---|
| Supabase | database e autenticazione | Irlanda (UE) |
| Cloudflare R2 | archiviazione delle fotografie | Unione Europea (WEUR) |
| Netlify | consegna dell'applicazione ed esecuzione delle funzioni server, ad esempio la composizione dei PDF | Stati Uniti |
| Resend | invio delle email | Irlanda (UE) — regione eu-west-1 |
| Stripe | pagamenti | Irlanda (UE) e Stati Uniti |
| Klaviyo | invio della newsletter, solo a chi si iscrive | Stati Uniti |
Sui trasferimenti fuori dall'Europa. Netlify, Stripe e Klaviyo comportano un
trasferimento verso gli Stati Uniti. Resend invia dalla regione eu-west-1
(Irlanda), ma la societa' fornitrice ha sede negli Stati Uniti e puo' accedervi
per assistenza: il trasferimento va quindi dichiarato lo stesso. Avviene sulla base delle Clausole Contrattuali
Standard approvate dalla Commissione europea e, dove il fornitore è certificato, del
Data Privacy Framework. Puoi chiederci copia delle garanzie in essere scrivendo a
privacy@registrotcg.com.
Non vendiamo dati.
Misurazione e pubblicità, solo se le accetti
Sulle pagine pubbliche del sito — mai nel gestionale, nell'area dei clienti o nelle pagine degli studi — e solo con il tuo consenso nel banner dei cookie usiamo questi strumenti:
| Fornitore | Strumento | Dove |
|---|---|---|
| Google Ireland Ltd | Google Analytics, Google Ads | UE, con trasferimento negli Stati Uniti |
| Microsoft Ireland Operations Ltd | Microsoft Clarity | UE, con trasferimento negli Stati Uniti |
| Meta Platforms Ireland Ltd | pixel di Meta | UE, con trasferimento negli Stati Uniti |
| TikTok Technology Ltd | pixel di TikTok | Irlanda, con accessi da Paesi terzi |
| OpenAI | pixel di OpenAI Ads | Stati Uniti |
Google Analytics e Microsoft Clarity misurano le visite per nostro conto. Per la pubblicità, Google, Meta, TikTok e OpenAI usano i dati anche come titolari autonomi, secondo le proprie informative; con Meta siamo contitolari limitatamente alla raccolta e alla trasmissione dei dati tramite il pixel. I trasferimenti si basano sul Data Privacy Framework per i fornitori certificati e, per gli altri — TikTok compreso — sulle Clausole Contrattuali Standard. Cookie, durate e revoca del consenso sono nella cookie policy. Dopo la registrazione, se hai accettato il marketing, a Meta, TikTok e OpenAI arriva solo l'impronta cifrata (SHA-256) della tua email, mai l'indirizzo.
Se ci scrivi su WhatsApp, il messaggio passa da WhatsApp Ireland Ltd secondo le sue condizioni.
2.5 I tuoi diritti
Hai diritto di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (artt. 15-22 GDPR), e di revocare in qualsiasi momento un consenso già dato, senza che ciò tolga validità a quanto fatto prima.
Si esercitano scrivendo a privacy@registrotcg.com. Rispondiamo entro 30 giorni.
Se ritieni che il trattamento violi la legge puoi rivolgerti al Garante per la
protezione dei dati personali (garanteprivacy.it) o all'autorità del tuo Paese di
residenza.
2.6 Sicurezza
Dati cifrati in transito e a riposo, accesso limitato a chi ne ha necessità, isolamento fra studi imposto dal database e non dal codice applicativo, password salvate solo in forma cifrata non reversibile. Le fotografie non hanno indirizzi pubblici: si raggiungono solo con collegamenti firmati che scadono.
Nessuna misura rende un sistema inviolabile. In caso di violazione che comporti un rischio per i tuoi diritti, avvisiamo te e il Garante nei termini di legge.