Informativa sulla Privacy.

1. Introduzione

La presente Informativa sulla Privacy spiega come Huup Ltd («Huup», «noi», «nostro»), una società registrata in Inghilterra e Galles (numero Companies House 08708494, registrazione ICO ZC165061) con sede legale in 22 Old Montague Street, Londra E1 5NG, Regno Unito, raccoglie, utilizza e protegge i dati personali quando lei utilizza la piattaforma Huup, il nostro sito web www.huup.com e qualsiasi servizio correlato (collettivamente, i «Servizi»).

Huup è il titolare del trattamento dei dati personali che raccogliamo sui nostri clienti, potenziali clienti e visitatori del sito web. Quando trattiamo dati personali per conto dei nostri clienti aziendali (ad esempio, messaggi di clienti finali instradati tramite Huup), agiamo in qualità di responsabile del trattamento e il nostro cliente è il titolare — tale trattamento è disciplinato dal nostro contratto con il cliente interessato.

La presente informativa si applica a tutti gli utenti a livello globale. Se Lei si trova nel Regno Unito, i Suoi diritti sono disciplinati dal UK GDPR (recepito nel diritto britannico dall'European Union (Withdrawal) Act 2018). Se si trova nello SEE, i Suoi diritti sono disciplinati dal RGPD dell'UE. Tali diritti sono descritti nella sezione 8.

2. Informazioni che raccogliamo

Raccogliamo dati personali in tre modi: dati che ci fornisce direttamente, dati che raccogliamo automaticamente mentre utilizza i Servizi e dati che riceviamo da terze parti.

2.1 Dati dell'account

• Dati identificativi — nome, qualifica professionale, datore di lavoro.
• Dati di contatto — indirizzo e-mail, numero di telefono, indirizzo di fatturazione.
• Dati di autenticazione — password sottoposta a hash, segreti per l'autenticazione a più fattori, token di sessione.
• Dati di fatturazione — numeri di partita IVA e identificatori fiscali equivalenti (ove applicabile), indirizzo e-mail di fatturazione, token del metodo di pagamento (i numeri di carta completi non vengono memorizzati; si veda la sezione Stripe di seguito).

2.2 Dati di utilizzo

• Telemetria del prodotto — pagine visitate, funzionalità utilizzate, eventi di clic, registri degli errori.
• Dati del dispositivo — indirizzo IP, tipo di browser, sistema operativo, identificatori del dispositivo, fuso orario.
• Dati sulle prestazioni — latenza delle richieste, volumi di utilizzo delle API.

2.3 Cookie e tecnologie simili

Utilizziamo cookie per autenticazione, sicurezza e — con il suo consenso — analisi e pubblicità. Consulti la nostra Cookie Policy per l'elenco completo e per gestire le preferenze.

2.4 Dati di terze parti

• Integrazioni con marketplace — quando collega eBay, Amazon, OTTO Market, Shopify, Squarespace o altri canali, riceviamo per suo conto dati delle inserzioni, dati degli ordini, messaggi degli acquirenti e dati limitati di contatto degli acquirenti.
• Pagamenti (Stripe) — riceviamo lo stato del pagamento e le ultime 4 cifre delle carte per le ricevute; i dati completi della carta sono conservati da Stripe.
• Verifica dell'identità — quando necessario per la prevenzione delle frodi, possiamo ricevere risultati di verifica da fornitori KYC.

3. Come utilizziamo le sue informazioni

Utilizziamo i dati personali per le seguenti finalità:

• Operatività del servizio — per fornire, mantenere e proteggere la piattaforma Huup, inclusi autenticazione, fatturazione, assistenza clienti e per garantire un funzionamento affidabile dei Servizi.
• Miglioramento — per comprendere come i clienti utilizzano i Servizi al fine di esaminare e risolvere i problemi, stabilire le priorità dei miglioramenti e sviluppare nuove funzionalità. Ove possibile, utilizziamo dati aggregati o pseudonimizzati.
• Conformità legale — per adempiere ai nostri obblighi in materia fiscale, contabile, antiriciclaggio e ad altre leggi applicabili.
• Comunicazioni — per inviare avvisi di servizio, allarmi di sicurezza, fatture e aggiornamenti operativi a cui non è possibile disiscriversi finché l'account è attivo.
• Marketing — con il suo previo consenso, per inviare newsletter, aggiornamenti sul prodotto e inviti a eventi. Può ritirare il consenso in qualsiasi momento utilizzando il link di disiscrizione presente in ogni e-mail.

4. Base giuridica (GDPR)

Ai sensi del UK GDPR e, ove applicabile, del RGPD dell'UE, ci fondiamo su una delle seguenti basi giuridiche per ciascuna attività di trattamento:

• Esecuzione di un contratto — per fornire i Servizi per i quali si è iscritto e gestire la fatturazione.
• Legittimo interesse — per mantenere sicuri i nostri Servizi, prevenire abusi, migliorare i nostri prodotti e gestire la nostra attività (bilanciamo questi interessi con i suoi diritti e lo documentiamo nei nostri registri interni).
• Consenso — per e-mail di marketing, cookie non essenziali e qualsiasi integrazione opzionale che decida di abilitare. Può ritirare il consenso in qualsiasi momento.
• Obbligo legale — per conservare i registri finanziari, rispondere a richieste legali e adempiere ai requisiti normativi.

5. Condivisione e terze parti

Condividiamo i dati personali esclusivamente con sub-responsabili attentamente selezionati che ci aiutano a gestire i Servizi. Non vendiamo mai i suoi dati. I nostri principali sub-responsabili includono:

• Amazon Web Services (AWS) — hosting, archiviazione, database gestiti. I dati sono archiviati nelle regioni UE/Regno Unito.
• Stripe — elaborazione dei pagamenti e fatturazione degli abbonamenti.
• Cloudflare — DNS, CDN, sicurezza edge, protezione DDoS e analisi web rispettosa della privacy.
• API dei marketplace — eBay, Amazon Selling Partner API, OTTO Market, Shopify, OnBuy, Squarespace e altri canali che lei collega, utilizzati per sincronizzare inserzioni, ordini e messaggi secondo le sue istruzioni.
• Corrieri e fornitori di spedizione — DPD, Royal Mail (ClickDrop), Evri, DHL, DX, UPS, FedEx e vettori simili, utilizzati per generare etichette di spedizione e spedire i suoi ordini.
• Analisi e pubblicità (solo sito di marketing, con consenso) — Google Analytics 4 e Google Tag Manager (Google), il Meta Pixel (Meta) e Google Ads, utilizzati solo sul nostro sito di marketing pubblico e solo dopo che hai accettato i relativi cookie, per misurare l'utilizzo del sito web e l'efficacia della pubblicità e creare pubblici per il remarketing. Quando Meta Advanced Matching è attivo, i dati di contatto sottoposti ad hashing che fornisci (come il tuo indirizzo email) possono essere condivisi con Meta per associare le conversioni. Nessuno di questi strumenti viene eseguito all'interno del prodotto Huup autenticato.
• Recapito delle e-mail — Postmark (Wildbit LLC, USA) per le e-mail transazionali (ricevute, avvisi di sicurezza, reimpostazione della password). I trasferimenti sono coperti dalle Clausole Contrattuali Standard dell'UE (2021).

Possiamo inoltre divulgare i dati personali ove richiesto dalla legge, in risposta a richieste legittime delle autorità pubbliche, o per tutelare i diritti, la proprietà o la sicurezza di Huup, dei nostri clienti o di terzi.

L'elenco aggiornato dei sub-responsabili del trattamento, inclusi il nome, il paese di stabilimento e una descrizione del trattamento effettuato da ciascuno, è disponibile su richiesta all'indirizzo [email protected].

5.1 Dati degli acquirenti dei marketplace

Quando Lei collega un account di una piattaforma di vendita, trattiamo i dati degli ordini degli acquirenti per Suo conto, inclusi nomi, indirizzi di spedizione, dati di contatto e articoli ordinati, esclusivamente per l'evasione degli ordini, il servizio clienti e la reportistica operativa per Suo conto. Non utilizziamo i dati personali degli acquirenti per le nostre attività di marketing e non li condividiamo oltre quanto necessario per evadere gli ordini tramite i corrieri integrati (DPD, Royal Mail, Evri, DHL e simili). I dati degli acquirenti sono trattati in conformità ai requisiti di protezione dei dati di ciascuna piattaforma di vendita, compresa la Amazon Selling Partner API Data Protection Policy e le condizioni per i fornitori di servizi di OTTO Market, ove applicabile.

6. Trasferimenti internazionali

Huup opera principalmente nel Regno Unito e nello SEE. I dati dei clienti sono archiviati per impostazione predefinita nelle regioni AWS UE/Regno Unito. Laddove un sub-responsabile del trattamento o un'integrazione con una piattaforma di vendita tratti necessariamente dati al di fuori del Regno Unito/SEE (ad esempio, endpoint Amazon o eBay), ci avvaliamo di adeguate garanzie, tra cui il UK International Data Transfer Agreement (IDTA), le Clausole Contrattuali Standard dell'UE (2021) e misure tecniche supplementari quali la cifratura in transito e a riposo.

7. Conservazione dei dati

Conserviamo i dati personali solo per il tempo necessario al raggiungimento delle finalità per cui sono stati raccolti, compresi i requisiti legali, contabili o di rendicontazione. Periodi di conservazione tipici:

• Dati dell'account — conservati per tutta la durata dell'account e per un massimo di 90 giorni dalla chiusura dello stesso, dopodiché vengono eliminati in modo sicuro o anonimizzati.
• Registri di fatturazione e fiscali — minimo 6 anni per adempiere ai requisiti HMRC.
• Telemetria del prodotto e registri applicativi — fino a 12 mesi, dopodiché i registri vengono eliminati o anonimizzati. I dati personali degli acquirenti a cui si accede tramite Amazon Selling Partner API vengono eliminati 28 giorni dopo la data dell'ordine — un limite più rigoroso del tetto di 30 giorni previsto dalla Amazon SP-API Data Protection Policy.
• Registri di sicurezza e audit degli accessi — fino a 12 mesi, dopodiché vengono eliminati in modo sicuro.
• Liste di contatti per il marketing (basate sul consenso) — fino al ritiro del Suo consenso o alla cancellazione dell'iscrizione, ovvero dopo 24 mesi di inattività misurati dall'ultimo contatto, a seconda di quale evento si verifichi prima, dopodiché i dati vengono eliminati o anonimizzati.

8. I suoi diritti (GDPR)

Se Lei si trova nel Regno Unito o nello SEE, ha i seguenti diritti riguardo ai Suoi dati personali ai sensi del UK GDPR o del RGPD dell'UE (a seconda di quello applicabile):

• Accesso — richiedere una copia dei dati personali che deteniamo su di lei.
• Rettifica — chiederci di correggere dati inesatti o incompleti.
• Cancellazione ("diritto all'oblio") — richiedere la cancellazione dei Suoi dati personali laddove non sussista un motivo legittimo prevalente o un obbligo legale per conservarli. Tale diritto non si applica qualora la conservazione sia necessaria per adempiere a un obbligo legale o per l'accertamento, l'esercizio o la difesa di diritti in sede giudiziaria.
• Portabilità — laddove il trattamento si basi sul Suo consenso o sull'esecuzione di un contratto e venga effettuato con mezzi automatizzati, ricevere i Suoi dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e farli trasmettere direttamente a un altro titolare del trattamento ove tecnicamente fattibile.
• Limitazione — chiederci di limitare l'uso dei suoi dati mentre una richiesta viene risolta.
• Opposizione — opporsi in qualsiasi momento al trattamento dei Suoi dati personali basato sui nostri legittimi interessi (inclusa la profilazione). Cesseremo il trattamento a meno che non dimostriamo motivi legittimi cogenti che prevalgono sui Suoi interessi, diritti e libertà, o il trattamento sia necessario per l'accertamento, l'esercizio o la difesa di diritti in sede giudiziaria. Laddove il trattamento avvenga per finalità di marketing diretto, il Suo diritto di opposizione è assoluto e cesseremo immediatamente.
• Revoca del consenso — qualora il trattamento sia basato sul consenso, può revocarlo in qualsiasi momento.

Per esercitare qualsiasi diritto, invii un'e-mail a [email protected]. Rispondiamo entro un mese. Ha inoltre il diritto di presentare reclamo all'UK Information Commissioner's Office presso ico.org.uk/make-a-complaint.

8.1 Registri di responsabilità

Manteniamo un Registro delle Attività di Trattamento (ROPA) ai sensi dell'articolo 30 del GDPR del Regno Unito e valutiamo i rischi per la protezione dei dati di ogni nuova integrazione; una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) ai sensi dell'articolo 35 viene svolta quando il trattamento possa presentare un rischio elevato per gli interessati. I registri sono messi a disposizione dell'UK Information Commissioner's Office su richiesta.

9. Sicurezza

.Proteggiamo i suoi dati con un insieme stratificato di misure tecniche e organizzative, tra cui TLS 1.2+ (TLS 1.3 ove supportato) in transito, cifratura AES-256 a riposo con chiavi gestite da AWS KMS, database isolati per tenant (architettura database-per-tenant), autenticazione a più fattori obbligatoria per il personale, controlli di accesso basati sui ruoli, registrazione di audit granulare e scansione continua delle vulnerabilità delle dipendenze. Consulti la nostra pagina

9.1 Notifica delle violazioni

In caso di violazione di dati personali, notificheremo all'autorità di controllo competente (in genere l'UK Information Commissioner's Office) entro 72 ore dal momento in cui ne veniamo a conoscenza, ove richiesto dall'articolo 33 del GDPR del Regno Unito, e notificheremo gli interessati senza ingiustificato ritardo qualora la violazione possa presentare un rischio elevato per i loro diritti e libertà. Quando la violazione riguarda dati trattati nell'ambito di un'integrazione marketplace, notificheremo inoltre l'operatore del marketplace entro la finestra di notifica richiesta — per la Amazon Selling Partner API ciò avviene entro 24 ore dalla rilevazione, in linea con la Amazon Data Protection Policy.

10. Minori

I Servizi Huup sono progettati esclusivamente per uso aziendale e non sono destinati a soggetti di età inferiore ai 18 anni. Non raccogliamo consapevolmente dati personali di minori. Se ritiene che un minore ci abbia fornito dati personali, La preghiamo di contattarci all'indirizzo [email protected] e provvederemo a cancellarli.

11. Aggiornamenti della presente informativa

Possiamo aggiornare questa Informativa sulla Privacy di tanto in tanto. Pubblicheremo la nuova versione presso questo URL e aggiorneremo la data «Ultimo aggiornamento». Per modifiche sostanziali, le invieremo una notifica all'interno del prodotto o via e-mail almeno 30 giorni prima della loro entrata in vigore.

12. Contatti

Domande, richieste o reclami in merito alla presente informativa o al nostro trattamento dei dati personali devono essere inviati a:

Huup Ltd non ha formalmente designato un Responsabile della Protezione dei Dati (RPD) ai sensi dell'articolo 37 del UK GDPR, in quanto le nostre attività di trattamento non raggiungono la soglia per la designazione obbligatoria del RPD stabilita dall'articolo 37, paragrafo 1. Le richieste in materia di privacy e protezione dei dati — comprese le richieste di esercizio dei diritti di cui alla sezione 8 — sono gestite dal nostro team legale e di conformità ai recapiti sopra indicati. Se ritiene che un RPD formale sia necessario per i Suoi scopi, La invitiamo a contattarci e riesamineremo la nostra posizione.

Ha inoltre il diritto di presentare reclamo all'UK Information Commissioner's Office (ico.org.uk) o alla sua autorità di controllo locale dell'UE.

13. Processo decisionale automatizzato

Non adottiamo decisioni basate esclusivamente su trattamenti automatizzati che producano effetti giuridici o effetti significativi analoghi nei Suoi confronti, come descritto all'articolo 22 del UK GDPR. Laddove utilizziamo la profilazione — ad esempio, per analizzare i modelli di utilizzo del prodotto al fine di suggerire funzionalità pertinenti — un essere umano è sempre coinvolto in qualsiasi decisione che abbia un impatto materiale sulla Sua persona.

Qualora ciò dovesse cambiare in futuro, aggiorneremo la presente informativa e Le forniremo le informazioni richieste dal UK GDPR, compresa la logica utilizzata e l'importanza e le conseguenze previste del trattamento.

14. Decisioni di adeguatezza e trasferimenti internazionali

Per i trasferimenti di dati personali dallo SEE al Regno Unito, ci avvaliamo delle decisioni di adeguatezza della Commissione europea relative al Regno Unito, rinnovate il 19 dicembre 2025 a seguito del Data (Use and Access) Act 2025 britannico e valide fino al 27 dicembre 2031, che riconoscono il Regno Unito come Paese che garantisce un livello adeguato di protezione dei dati. Per i trasferimenti di dati personali dal Regno Unito allo SEE, i regolamenti di adeguatezza del Governo britannico riconoscono gli Stati membri dello SEE/UE come adeguati. Quando trasferiamo dati al di fuori del Regno Unito e dello SEE — ad esempio, a responsabili del trattamento ubicati negli Stati Uniti — ci avvaliamo delle garanzie descritte alla sezione 6.

15. Registri del consenso

Conserviamo i registri del consenso ai cookie (preferenze memorizzate nel Suo browser) e gli eventi di opt-in/opt-out al marketing per il periodo durante il quale tale consenso viene invocato, più 12 mesi successivi. Ciò ci consente di dimostrare la conformità ai requisiti di consenso del UK PECR e del UK GDPR. I registri del consenso non sono utilizzati per nessun altro scopo e vengono eliminati in modo sicuro al termine del periodo di conservazione.

16. Account Google collegati (Google Ads e Tag Manager)

Quando utilizzi le funzionalità pubblicitarie di Huup, puoi collegare a Huup i tuoi account Google Ads e Google Tag Manager tramite l'accesso OAuth ufficiale di Google. Accediamo a questi account solo dopo una tua autorizzazione esplicita e unicamente per fornire le funzionalità che richiedi all'interno di Huup.

• Google Ads (ambito .../auth/adwords) — per creare, leggere, aggiornare e rendicontare le campagne pubblicitarie negli account Google Ads che colleghi.
• Google Tag Manager (ambiti tagmanager) — per leggere i tuoi container e pubblicare i tag di monitoraggio delle conversioni che ci chiedi di configurare sul tuo sito web.
• Profilo Google di base (openid, email) — per identificare quale accesso Google hai collegato.

Utilizziamo questi dati esclusivamente per far funzionare le funzionalità pubblicitarie che richiedi. Non utilizziamo i dati utente di Google per la nostra pubblicità, non li vendiamo e non li condividiamo con terzi, salvo quanto necessario per fornirti il servizio o richiesto dalla legge. I token OAuth sono archiviati in forma cifrata e puoi scollegarti in qualsiasi momento da Impostazioni → Integrazioni → Ads, revocando l'accesso di Huup.

L'uso e il trasferimento da parte di Huup delle informazioni ricevute dalle API di Google verso qualsiasi altra applicazione saranno conformi alla Google API Services User Data Policy, inclusi i requisiti Limited Use.