1. Titolare del trattamento
Il titolare del trattamento dei dati personali raccolti tramite il sito e l’app BidyBike (di seguito “BidyBike” o la “Piattaforma”) è MYCD, con sede in Piazza 4 Novembre, 51031 Agliana (PT), P.IVA 01889370472 (di seguito il “Titolare”).
Per qualsiasi richiesta relativa ai tuoi dati personali puoi scrivere a privacy@bidybike.com. Il Titolare non ha nominato un Responsabile della protezione dei dati (DPO), non essendone obbligato ai sensi dell’art. 37 del Regolamento (UE) 2016/679 (“GDPR”).
Questa informativa è resa ai sensi degli artt. 13 e 14 del GDPR e del D.Lgs. 196/2003 (“Codice Privacy”) come modificato dal D.Lgs. 101/2018. Per l’uso dei cookie consulta anche la Cookie Policy.
2. Quali dati trattiamo
- Dati di registrazione: nome, cognome, indirizzo email, password (conservata solo in forma cifrata), nome utente pubblico; il numero di telefono è facoltativo e lo inserisci solo se vuoi, dal tuo account.
- Dati di profilo e fatturazione: codice fiscale o partita IVA, indirizzi di spedizione, città, IBAN per l’accredito dei pagamenti ai venditori (raccolto da Stripe durante l’attivazione dei pagamenti, insieme ai dati di verifica dell’identità richiesti dalla normativa antiriciclaggio), data e versione dell’approvazione delle condizioni per i venditori; per i venditori professionali, i dati richiesti dalla normativa sui servizi digitali (ragione sociale, P.IVA, indirizzo, contatti).
- Dati delle attività sulla Piattaforma: annunci pubblicati, foto caricate, offerte effettuate (importi, data e ora), aste salvate nel Radar e preavviso email scelto, ordini, spedizioni e tracking, date di ricezione dell’oggetto, conferme di conformità dell’acquirente e sblocco (manuale o automatico) del pagamento al venditore, feedback, segnalazioni e contestazioni, messaggi inviati al supporto.
- Domande e risposte sugli annunci: le domande al venditore sono scelte da un elenco predefinito e il venditore risponde con risposte predefinite. Conserviamo chi ha posto quale domanda su quale asta, la data e la risposta. Le domande con risposta sono pubblicate nella pagina dell’asta senza indicare chi le ha poste; il venditore non vede l’identità di chi chiede. Il team BidyBike può consultare le domande poste da un utente.
- Visite alle aste e statistiche: contiamo le visite a ogni asta per giorno (conteggi aggregati, senza collegarli a un utente identificato) e le mostriamo al venditore e al team. Il team elabora statistiche interne, come le aste più viste e le domande più frequenti.
- Dati di pagamento: il metodo scelto e l’esito della transazione. I dati delle carte e dei conti di pagamento sono raccolti e trattati direttamente da Stripe e non vengono mai conservati da BidyBike: BidyBike non è una banca e non vede né custodisce il denaro degli utenti, trattiene soltanto le proprie commissioni. Per accreditare i pagamenti ai venditori, Stripe può richiedere una verifica dell’identità (documento, dati bancari) come previsto dalla normativa antiriciclaggio.
- Richieste di assistenza (ticket): categoria, oggetto, testo dei messaggi tuoi e del team, eventuale ordine collegato e le immagini che scegli di allegare (ridimensionate e compresse nel tuo browser prima dell’invio, conservate in un archivio privato accessibile solo a te e al team). Ti chiediamo di non inserire dati particolari o non necessari. Per proteggere il modulo da bot e abusi usiamo Cloudflare Turnstile, che si carica solo nella pagina del modulo (vedi Cookie Policy).
- Recensioni: dopo ogni ordine acquirente e venditore possono valutarsi a vicenda (stelle e commento). Le recensioni ricevute, le eventuali risposte, il nome utente di chi le scrive e il titolo dell’oggetto compravenduto sono pubblicati nel profilo di chi le riceve, per garantire la fiducia tra gli utenti (legittimo interesse e contratto). Non inserire dati personali nei commenti: possiamo nascondere le recensioni non conformi.
- Acquisto di promozioni (Vetrina ed Evidenza): nome, email per la ricevuta, aste promosse, importi e, se richiedi la fattura, ragione sociale, codice fiscale o partita IVA, indirizzo di fatturazione e codice destinatario SDI o PEC. Il pagamento con carta è gestito da Stripe come indicato sopra.
- Compilazione dell’annuncio con l’IA (facoltativa, Beta): solo se attivi l’interruttore nel passo delle foto, fino a 5 foto dell’annuncio vengono inviate a un servizio di analisi (vedi punto 3) e conserviamo un registro tecnico dell’uso (utente, data, numero di foto, esito e quantità di dati elaborati), senza foto né testi generati.
- Presenza online: mentre usi il sito da connesso, la pagina segnala ogni minuto che sei attivo; conserviamo solo l’ultimo istante di attività (sovrascritto a ogni segnale, senza storico né pagine visitate), visibile solo al team per la sicurezza della Piattaforma, l’assistenza e statistiche di utilizzo aggregate.
- Dati di navigazione e tecnici: indirizzo IP, tipo di dispositivo e browser, data e ora di accesso, pagine visitate, log di sicurezza.
- Dati raccolti tramite cookie e tecnologie simili, inclusi quelli di Google e Meta, solo previo consenso ove richiesto (vedi Cookie Policy).
Non trattiamo categorie particolari di dati (art. 9 GDPR): ti chiediamo di non inserirle in annunci, descrizioni o messaggi.
3. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Creazione e gestione dell’account, verifica dell’email, accesso ai servizi | Esecuzione del contratto (art. 6.1.b GDPR) |
| Registrazione di data, versione e, quando disponibili, indirizzo IP e browser dell’accettazione dei Termini e delle condizioni per i venditori, per dimostrare cosa hai accettato e quando | Esecuzione del contratto (art. 6.1.b) e legittimo interesse ad accertare, esercitare o difendere un diritto in giudizio (art. 6.1.f) |
| Registrazione dell’indirizzo IP e del browser quando avvii il pagamento di un ordine, per prevenire le frodi e difendere le contestazioni bancarie (chargeback) | Legittimo interesse a prevenire frodi e ad accertare, esercitare o difendere un diritto in giudizio (art. 6.1.f) |
| Messaggi e promozioni della piattaforma: ricordare quelli che hai nascosto con «Non mostrare più» (nel tuo account, o in un cookie tecnico se non hai effettuato l’accesso) | Legittimo interesse a non riproporre contenuti già rifiutati (art. 6.1.f); puoi riattivarli dal profilo |
| Gestione delle richieste di assistenza (ticket), risposte del team e prevenzione degli abusi del modulo | Esecuzione del contratto (art. 6.1.b) e legittimo interesse alla sicurezza del servizio (art. 6.1.f) |
| Domande e risposte tra acquirenti e venditori, pubblicazione delle risposte sull’annuncio | Esecuzione del contratto (art. 6.1.b) |
| Statistiche interne sulle visite e sulle domande (aste più viste, domande più frequenti, interessi degli acquirenti) per migliorare il servizio, valutare le promozioni e pianificare le attività di marketing; consultazione delle domande poste da un utente per assistenza e prevenzione di abusi | Legittimo interesse del Titolare (art. 6.1.f), con diritto di opposizione |
| Pubblicazione e verifica degli annunci, gestione delle aste e delle offerte, aggiudicazione | Esecuzione del contratto (art. 6.1.b) |
| Gestione di pagamenti, ordini, spedizioni, conferma di ricezione e sblocco dei fondi al venditore (anche automatico dopo il periodo di controllo), rimborsi, contestazioni (motivo, messaggi scambiati con il team e esito) e assistenza | Esecuzione del contratto (art. 6.1.b) |
| Email di servizio e notifiche (offerta superata, asta vinta, pagamento ricevuto, spedizione…) | Esecuzione del contratto (art. 6.1.b) |
| Adempimenti fiscali e contabili, fatturazione, comunicazioni all’Agenzia delle Entrate previste dalla normativa DAC7 (D.Lgs. 32/2023), richieste delle autorità | Obbligo di legge (art. 6.1.c) |
| Compilazione assistita dell’annuncio dalle foto con l’IA (facoltativa): invio delle foto al servizio di analisi e registro dell’uso | Consenso (art. 6.1.a), espresso attivando l’interruttore nel passo delle foto; revocabile non usandolo; registro dell’uso: legittimo interesse (art. 6.1.f) a controllare costi e abusi |
| Obblighi del Regolamento (UE) 2022/2065 sui servizi digitali (tracciabilità dei venditori professionali, gestione delle segnalazioni di contenuti illegali) | Obbligo di legge (art. 6.1.c) |
| Presenza online degli utenti connessi (ultimo istante di attività), visibile al team | Legittimo interesse del Titolare (art. 6.1.f): sicurezza, assistenza e funzionamento della Piattaforma |
| Sicurezza della Piattaforma, prevenzione di frodi, offerte fittizie e abusi, verifica degli annunci | Legittimo interesse del Titolare e degli utenti (art. 6.1.f) |
| Accertamento, esercizio o difesa di un diritto in sede giudiziaria | Legittimo interesse (art. 6.1.f) |
| Email su servizi analoghi a quelli già utilizzati (“soft spam”), con possibilità di opporsi in ogni momento | Legittimo interesse, art. 130 c. 4 Codice Privacy |
| Newsletter, comunicazioni promozionali e notifiche push di marketing (anche quando mirate sulla base delle domande o delle aste che ti interessano) | Consenso (art. 6.1.a), revocabile |
| Statistiche di utilizzo tramite strumenti di terze parti (Google Analytics, Vercel Web Analytics) | Consenso (art. 6.1.a), tramite banner cookie |
| Pubblicità personalizzata, remarketing e misurazione delle campagne su Google e Meta | Consenso (art. 6.1.a), tramite banner cookie |
Non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici nei tuoi confronti (art. 22 GDPR). I controlli automatici anti-frode servono solo a segnalare casi che vengono poi valutati dal nostro team.
Compilazione dell’annuncio con l’IA (Beta, facoltativa)
Nel passo delle foto del modulo di vendita trovi l’interruttore «Compila i dettagli con l’IA», spento per impostazione predefinita. Se lo attivi, quando premi Continua inviamo fino a 5 delle foto che hai appena caricato a un servizio di intelligenza artificiale (Anthropic, vedi punto 6), che ci restituisce marca, modello, componenti visibili e una bozza di descrizione. Usiamo le foto solo a questo scopo, non le conserviamo presso il fornitore oltre quanto previsto dalle sue condizioni per il servizio e, secondo le condizioni commerciali dell’API, non vengono usate per addestrare i modelli. Il fornitore non è autorizzato a usarle per finalità proprie. I suggerimenti sono sempre rivedibili da te, non producono effetti automatici e non sono una decisione automatizzata ai sensi dell’art. 22 GDPR. Evita di inserire nelle foto persone, targhe o altri dati personali.
4. Marketing, Google e Meta
Con il tuo consenso, espresso tramite il banner cookie o nelle impostazioni del profilo, BidyBike utilizza servizi di terze parti per misurare le visite e promuovere la Piattaforma:
- Google Analytics 4 (Google Ireland Ltd.) per statistiche aggregate di utilizzo, con anonimizzazione dell’IP e Google Consent Mode: senza consenso non vengono installati cookie di analisi.
- Vercel Web Analytics (Vercel Inc.) per statistiche aggregate di visita (pagine viste, provenienza, tipo di dispositivo e paese), senza cookie e senza identificare il singolo utente: i visitatori si distinguono con un identificativo anonimo che cambia ogni giorno. Viene caricato solo se acconsenti alle statistiche.
- Google Ads (Google Ireland Ltd.) per misurare le conversioni e mostrare annunci pertinenti agli utenti che hanno visitato BidyBike (remarketing).
- Meta Pixel (Meta Platforms Ireland Ltd.) per misurare l’efficacia delle campagne su Facebook e Instagram e creare pubblici personalizzati. Per la raccolta e la trasmissione dei dati tramite il Pixel, il Titolare e Meta agiscono come contitolari del trattamento (art. 26 GDPR), secondo l’accordo disponibile su facebook.com/legal/controller_addendum; i trattamenti successivi sono di esclusiva titolarità di Meta.
- Pubblici personalizzati: solo se hai prestato il consenso al marketing, il tuo indirizzo email può essere trasmesso in forma cifrata (hash) a Google e Meta per mostrarti annunci o escluderti da campagne già rivolte ai clienti.
Puoi modificare le tue scelte in qualsiasi momento con l’icona a forma di scudo in basso a sinistra, disattivare la newsletter dal tuo profilo o cliccando “disiscriviti” in fondo a ogni email. Le informative dei fornitori sono disponibili su policies.google.com/privacy e facebook.com/privacy/policy.
5. Obbligatorietà del conferimento
Il conferimento dei dati di registrazione, di profilo e di fatturazione è necessario per usare la Piattaforma: senza questi dati non è possibile creare un account, fare offerte, vendere o ricevere pagamenti. Il consenso per statistiche e marketing è facoltativo e il rifiuto non ha alcuna conseguenza sull’uso dei servizi.
6. A chi comunichiamo i dati
I dati sono trattati da personale autorizzato del Titolare e possono essere comunicati a:
- Fornitori che agiscono come responsabili del trattamento (art. 28 GDPR): Supabase (database, autenticazione e archiviazione delle foto, con server nell’Unione Europea – Irlanda), Vercel (hosting del sito), Resend (invio delle email), Cloudflare (verifica anti-bot Turnstile sul modulo di assistenza), Google e Meta per i servizi descritti al punto 4, consulenti fiscali e legali.
- Altri utenti, nella misura necessaria alla compravendita: il tuo nome utente è visibile pubblicamente; il tuo nome nelle offerte è mostrato in forma parzialmente oscurata (es. “l***o B.”). Ad asta conclusa, il venditore riceve nome, indirizzo di consegna ed email dell’acquirente per spedire l’oggetto, e l’acquirente riceve i contatti del venditore.
- Stripe Payments Europe Ltd. (Irlanda), istituto di moneta elettronica autorizzato che incassa e gestisce i pagamenti e gli accrediti ai venditori (BidyBike non tocca mai il denaro). Per i dati necessari a eseguire i pagamenti, prevenire le frodi e adempiere agli obblighi antiriciclaggio Stripe agisce come titolare autonomo del trattamento: vedi la sua informativa privacy.
- Anthropic, PBC (Stati Uniti), fornitore del servizio di intelligenza artificiale, responsabile del trattamento (art. 28 GDPR): riceve le foto che scegli di far analizzare con la compilazione assistita dell’annuncio, solo per restituire i suggerimenti.
- Corrieri (es. BRT, DHL, GLS) per la consegna degli oggetti.
- Autorità pubbliche (es. Agenzia delle Entrate, autorità giudiziaria e di polizia) quando previsto dalla legge.
I dati non sono venduti a terzi né diffusi, salvo le informazioni che scegli di rendere pubbliche negli annunci e nei feedback.
7. Trasferimenti fuori dall’Unione Europea
Alcuni fornitori (es. Vercel, Resend, Stripe, Anthropic, Google, Meta) hanno sede o infrastrutture negli Stati Uniti. In questi casi il trasferimento avviene sulla base della decisione di adeguatezza della Commissione Europea sul EU-U.S. Data Privacy Framework, per i fornitori certificati, oppure delle Clausole Contrattuali Standard approvate dalla Commissione (art. 46 GDPR), con misure di sicurezza supplementari. Puoi chiederne copia scrivendo a privacy@bidybike.com.
8. Per quanto tempo conserviamo i dati
| Dati | Durata |
|---|---|
| Prova dell’accettazione dei Termini (data, versione, IP e browser) | Per tutta la durata dell’account e, dopo la cancellazione, per il periodo di prescrizione dei diritti derivanti dal contratto (10 anni), solo per difendere un diritto in giudizio |
| IP e browser registrati all’avvio del pagamento di un ordine | 18 mesi dall’ordine, poi cancellati in automatico; usati solo per difendere una contestazione bancaria |
| Contestazioni sugli ordini (motivo, messaggi con il team BidyBike ed esito) | Fino a 24 mesi dalla chiusura, per gestire eventuali ulteriori contestazioni e difendere un diritto in giudizio; il venditore vede solo il motivo e i messaggi del proprio filone |
| Ticket di assistenza e relativi allegati | Fino a 24 mesi dall’ultimo messaggio, per gestire eventuali contestazioni; sono cancellati subito se elimini l’account |
| Annunci conclusi (foto, descrizione, prezzo finale, numero di offerte) | Visibili pubblicamente per 60 giorni dalla chiusura dell’asta; poi le aste invendute sono cancellate con le foto, mentre per quelle vendute restano solo i dati dell’ordine (vedi “Offerte, ordini…”) |
| Domande e risposte sugli annunci; visite giornaliere delle aste | Domande e risposte: finché l’annuncio è presente sulla Piattaforma; le domande che hai posto vengono cancellate se elimini l’account. Visite: solo conteggi aggregati per asta e per giorno |
| Dati dell’account e del profilo | Per tutta la durata dell’account; dopo la cancellazione, fino a 24 mesi per la gestione di eventuali contestazioni, poi cancellati o anonimizzati |
| Offerte, ordini, acquisti di promozioni, pagamenti, fatture e dati fiscali | 10 anni dalla conclusione dell’operazione (art. 2220 c.c. e normativa fiscale) |
| Dati comunicati ai sensi della normativa DAC7 | 10 anni dalla fine del periodo di riferimento, come previsto dalla legge |
| Registro dell’uso della compilazione con l’IA (utente, data, numero di foto, esito; senza foto né testi) | 12 mesi |
| Log tecnici e di sicurezza | 12 mesi |
| Dati per newsletter e marketing | Fino alla revoca del consenso e comunque non oltre 24 mesi dall’ultima interazione |
| Cookie e preferenze di consenso | Come indicato nella Cookie Policy (la scelta sul banner dura 6 mesi) |
9. I tuoi diritti
In qualsiasi momento puoi esercitare i diritti previsti dagli artt. 15-22 GDPR:
- accesso ai tuoi dati e copia degli stessi;
- rettifica dei dati inesatti (molti dati sono modificabili direttamente dal tuo profilo);
- cancellazione (“diritto all’oblio”), nei limiti degli obblighi di conservazione previsti dalla legge;
- limitazione del trattamento;
- portabilità dei dati forniti, in formato strutturato e leggibile da dispositivo automatico;
- opposizione ai trattamenti basati sul legittimo interesse e, in ogni caso, al marketing diretto;
- revoca del consenso, senza pregiudicare la liceità del trattamento effettuato prima della revoca.
Per esercitarli scrivi a privacy@bidybike.com: risponderemo entro un mese (prorogabile di due mesi nei casi complessi). Potremmo chiederti informazioni per verificare la tua identità. Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all’autorità di controllo dello Stato UE in cui risiedi.
10. Cancellazione dell’account
Puoi eliminare il tuo account in autonomia dal profilo (I miei dati → Elimina account) oppure scrivendo a privacy@bidybike.com dall’indirizzo email registrato. La cancellazione è possibile quando non hai aste in corso, offerte in testa su aste aperte o ordini non conclusi. Cancelliamo o anonimizziamo subito i dati del profilo (le copie di backup entro 30 giorni), mantenendo solo quelli che la legge ci obbliga a conservare (es. dati fiscali delle transazioni), per il periodo indicato al punto 8. Le foto e i testi degli annunci conclusi vengono rimossi; i feedback lasciati ad altri utenti restano visibili in forma anonima.
11. Minori
BidyBike è riservata a persone maggiorenni (18 anni compiuti). Non raccogliamo consapevolmente dati di minori: se ritieni che un minore ci abbia fornito dati personali, scrivici e provvederemo a cancellarli.
12. Sicurezza
Adottiamo misure tecniche e organizzative adeguate (art. 32 GDPR): connessioni cifrate HTTPS, password cifrate, controllo degli accessi a livello di database, dati personali separati da quelli pubblici, accesso ai dati limitato al personale autorizzato, backup e monitoraggio. In caso di violazione dei dati che presenti rischi per i tuoi diritti, ti informeremo come previsto dagli artt. 33-34 GDPR.
13. Modifiche all’informativa
Possiamo aggiornare questa informativa per adeguarla a novità normative o a cambiamenti dei servizi. In caso di modifiche rilevanti ti avviseremo via email o con un avviso sulla Piattaforma. La data dell’ultimo aggiornamento è indicata in cima alla pagina.