Informativa sulla privacy

Informativa sulla privacy e sui cookie, versione del 26 ottobre 2026.

Questa informativa spiega quali dati personali trattiamo quando visitate questo sito, comprate o ci scrivete, perché lo facciamo e quali diritti avete (articoli 13 e 14 del Regolamento UE 2016/679, «GDPR», e Codice in materia di protezione dei dati personali, D.Lgs. 196/2003). La parte sui cookie è al punto 10.

1. Chi è il titolare del trattamento

Samuel De Biasi, privato, Via Gioacchino Rossini 21B, 33041 Aiello del Friuli (UD), Italia, email ciao@pozzalume.com. Per qualsiasi domanda o richiesta sui vostri dati scrivete a questa email. Non abbiamo nominato un responsabile della protezione dei dati (DPO), perché per un'attività come la nostra non è obbligatorio.

2. Quali dati trattiamo, perché e su quale base

a) Acquisti

Nome e cognome, email, indirizzo di fatturazione, telefono se lo scrivete, edizione comprata, importi, codici sconto, dati tecnici del checkout (per esempio l'indirizzo IP). I dati della carta li tratta direttamente il fornitore del pagamento: noi non li vediamo. Li usiamo per concludere ed eseguire il contratto, mandarvi i file, darvi assistenza, gestire la garanzia e il recesso. Base giuridica: l'esecuzione del contratto (art. 6, par. 1, lett. b, GDPR).

b) Obblighi di legge e difesa dei nostri diritti

Conserviamo i dati degli ordini e le comunicazioni che li riguardano per rispettare gli obblighi di legge (per esempio quelli fiscali) e per difendere i nostri diritti in caso di contestazione. Basi giuridiche: obbligo di legge e legittimo interesse (art. 6, par. 1, lett. c e f, GDPR).

c) Messaggi, assistenza e recesso

Quando ci scrivete (modulo dei contatti, email, risposta alla mail dell'ordine) o usate la pagina «Recedi dal contratto», trattiamo i dati che ci mandate (di solito nome, email, numero dell'ordine e il testo del messaggio) per rispondervi e gestire la richiesta. Basi giuridiche: esecuzione del contratto o di misure precontrattuali, obbligo di legge per il recesso, legittimo interesse a rispondere (art. 6, par. 1, lett. b, c e f, GDPR).

d) Funzionamento e sicurezza del sito

Per mostrarvi il sito, ricordare il carrello e proteggere il negozio da frodi e abusi, Shopify tratta dati tecnici come indirizzo IP, browser, dispositivo e pagine viste, e usa i cookie tecnici del punto 10. Base giuridica: legittimo interesse (art. 6, par. 1, lett. f, GDPR). Per i cookie tecnici non serve il consenso (art. 122 del Codice privacy).

e) Statistiche, solo con il vostro consenso

Se nel banner accettate i cookie «Statistiche», possiamo usare le statistiche di Shopify e Microsoft Clarity per capire come viene usato il sito e migliorarlo: pagine viste, provenienza della visita (per esempio da quale inserzione), clic, scorrimento e registrazioni pseudonime di come vi muovete sulla pagina. Base giuridica: il vostro consenso (art. 6, par. 1, lett. a, GDPR; art. 122 del Codice privacy). Senza consenso, Clarity non si carica.

f) Pubblicità, solo con il vostro consenso

Se accettate i cookie «Pubblicità», possiamo usare il pixel di Meta (Facebook e Instagram) per misurare le visite e gli acquisti che arrivano dalle nostre inserzioni. Meta riceve identificativi del browser e dei cookie, indirizzo IP, pagine viste ed eventi (per esempio «ha visto il prodotto», «ha iniziato il pagamento», «ha comprato», con il valore). Per la raccolta e la trasmissione di questi dati siamo contitolari con Meta Platforms Ireland Limited; quello che Meta fa dopo lo decide Meta, come titolare autonomo, secondo la sua informativa. Base giuridica: il vostro consenso (art. 6, par. 1, lett. a, GDPR; art. 122 del Codice privacy). Senza consenso, il pixel non si carica.

g) Recensioni

Se scrivete una recensione nella pagina «Le serate raccontate», trattiamo il nome che scegliete, l'email, le stelle, il testo, le foto o i video che caricate e l'indirizzo IP. Nome, stelle, testo, foto e video si vedono in pubblico sul sito; l'email no: serve solo a mandarvi il link per confermare la recensione. Per favore, niente volti di bambini nelle foto e niente nomi dei bambini nel testo: se ne arrivano, togliamo la recensione dal sito e chiediamo a Judge.me di cancellare anche il file della foto. Le recensioni le raccoglie per noi Judge.me (punto 4). Nella pagina delle recensioni il modulo e l'elenco arrivano dai suoi server, che così vedono l'indirizzo IP appena si apre la pagina, prima di qualsiasi scelta sui cookie: senza i suoi server la pagina non può mostrare né il modulo né le recensioni. Per questo passaggio la base giuridica è il nostro interesse legittimo a far funzionare la pagina (art. 6, par. 1, lett. f, GDPR). Per i dati della recensione la base giuridica è il vostro consenso, che date mandandola (art. 6, par. 1, lett. a, GDPR). Potete chiederci di togliere la vostra recensione quando volete, scrivendo a ciao@pozzalume.com.

h) Email di novità e offerte, solo se vi iscrivete

Vi iscrivete spuntando la casella nel pagamento o lasciando l'email in un modulo del sito (per esempio «la prima sera» o il calendario dell'Avvento). Trattiamo l'email, il nome se lo scrivete, cosa avete scaricato o comprato e se avete lasciato a metà un carrello o un pagamento. Con questi dati vi mandiamo: le email della prima sera, con il vostro codice sconto personale; le email del calendario dell'Avvento; un promemoria se lasciate a metà un carrello o un pagamento; le email dopo l'acquisto, che vi aiutano a giocare e a usare la Bottega dei Suoni; le nostre notizie e offerte. Non misuriamo se aprite le email: contiamo solo i clic sui link e gli ordini che ne arrivano. Base giuridica: il vostro consenso (art. 6, par. 1, lett. a, GDPR; art. 130 del Codice privacy). Potete cancellarvi quando volete, con il link in fondo a ogni email o scrivendoci. Le email le mandiamo con Shopify Messaging e Shopify Flow (punto 4). Le email che servono per l'ordine (conferma, file, aggiornamenti dei file) arrivano anche a chi non è iscritto, perché fanno parte del contratto (punto 2.a).

i) «Porta una famiglia»

Chi ha comprato il gioco riceve per email un link personale da mandare a un'altra famiglia. La famiglia invitata ha uno sconto sul primo ordine; chi ha invitato riceve un codice sconto quando quell'ordine è pagato e controllato. Le regole sono nelle Condizioni di vendita. Il programma lo gestisce per noi l'app BLOOP (punto 4), che tratta: nome ed email di chi invita; l'email della famiglia invitata, se la scrive nella finestra del sito; gli ordini fatti con il link e il loro importo; i dati che servono a controllare che nessuno inviti sé stesso (per esempio email, nome, indirizzo e dati tecnici del dispositivo). BLOOP manda le email del programma da un suo indirizzo. Il suo script si carica su tutte le pagine del negozio, anche prima di qualsiasi scelta sui cookie, per riconoscere chi arriva con un link personale: così i server di BLOOP vedono l'indirizzo IP e il browser salva un identificativo (bl_customer, punto 10). Basi giuridiche: per chi partecipa, l'esecuzione delle regole del programma (art. 6, par. 1, lett. b, GDPR); per i controlli contro gli abusi e per lo script sulle pagine, il nostro interesse legittimo a far funzionare il programma (art. 6, par. 1, lett. f, GDPR).

j) La Bottega dei Suoni

La Bottega dei Suoni è per chi ha il gioco completo. Per entrare scrivete l'email dell'ordine: Shopify vi manda un codice e la Bottega legge dai vostri ordini se avete il gioco completo. Sul telefono non restano né l'email né le chiavi di accesso: restano solo l'esito dell'accesso, per 180 giorni, alcune preferenze (punto 10) e una copia di pagine e suoni, per giocare anche senza rete. Nessun dato dei bambini. La Bottega è ospitata da Cloudflare (punto 4), che vede l'indirizzo IP per mostrarvi le pagine. Base giuridica: l'esecuzione del contratto (art. 6, par. 1, lett. b, GDPR).

3. Se non ci date i dati

I dati dell'acquisto servono per concludere il contratto: senza, non possiamo vendervi niente. I consensi ai cookie di statistiche e di pubblicità sono facoltativi: se li rifiutate, il sito funziona allo stesso modo. Non prendiamo decisioni automatizzate che producono effetti giuridici su di voi.

4. A chi arrivano i dati

Shopify (Shopify International Limited, Irlanda, e società del suo gruppo): ospita il negozio, il checkout, i pagamenti, le email degli ordini e l'app Digital Products, che conserva i file e manda i link di download. Lo fa come nostro responsabile del trattamento. Per alcuni servizi suoi (per esempio Shop, Shop Pay e la prevenzione delle frodi) Shopify è titolare autonomo: trovate i dettagli su privacy.shopify.com.
I fornitori del mezzo di pagamento che scegliete nel checkout: titolari autonomi per i dati del pagamento.
Meta Platforms Ireland Limited, solo con il consenso «Pubblicità» (punto 2.f).
Microsoft Ireland Operations Limited, per Clarity, solo con il consenso «Statistiche» (punto 2.e).
Judge.me Ltd (Regno Unito), per le recensioni (punto 2.g): le raccoglie, le conserva e manda l'email per confermarle, come nostro responsabile del trattamento.
BLOOP, l'app di «Porta una famiglia» (punto 2.i), sviluppata in Vietnam: gestisce i link personali, i controlli contro gli abusi, i codici e le email del programma, come nostro responsabile del trattamento.
Cloudflare, Inc. (Stati Uniti), che ospita la Bottega dei Suoni (punto 2.j), come nostro responsabile del trattamento.
Chi gestisce per noi la posta elettronica, il commercialista e i consulenti, e le autorità quando la legge lo impone.

Non vendiamo i vostri dati a nessuno.

5. Dati fuori dall'Unione europea

Il nostro negozio è ospitato da Shopify sui suoi server negli Stati Uniti. Quindi i dati del negozio, degli ordini e dei clienti escono dallo Spazio economico europeo. Prima li tratta Shopify International Limited, in Irlanda. Poi passano alle altre società del gruppo Shopify, che ha la sede principale in Canada, e ai fornitori che ospitano la piattaforma, negli Stati Uniti e in Canada.

Nelle sue pagine ufficiali (accordo sul trattamento dei dati e informativa privacy, versione del 7 luglio 2026) Shopify dichiara queste garanzie:

le clausole contrattuali tipo approvate dalla Commissione europea nel 2021 (articolo 46 GDPR);
per i passaggi tra le società del gruppo, le sue norme vincolanti d'impresa, approvate dalle autorità europee per la protezione dei dati (articolo 47 GDPR);
per il Canada, la decisione di adeguatezza della Commissione europea (articolo 45 GDPR).

Anche Meta e Microsoft possono trattare dati negli Stati Uniti, ma solo se date il consenso nel banner. Per loro il trasferimento si basa sul Data Privacy Framework UE-USA, a cui dichiarano di aderire, o sulle clausole contrattuali tipo (articoli 45 e 46 GDPR).

Judge.me, per le recensioni, ha sede nel Regno Unito e conserva i dati negli Stati Uniti, presso Amazon Web Services e altri fornitori. Per questi trasferimenti dichiara di usare le clausole contrattuali tipo della Commissione europea (articolo 46 GDPR).

Cloudflare, che ospita la Bottega dei Suoni, tratta dati negli Stati Uniti e in altri paesi. Dichiara di aderire al Data Privacy Framework UE-USA e di usare le clausole contrattuali tipo della Commissione europea (articoli 45 e 46 GDPR).

BLOOP, l'app di «Porta una famiglia», è sviluppata in Vietnam, un paese per cui la Commissione europea non ha preso una decisione di adeguatezza. La sua informativa non dice in quale paese stanno i server né quali garanzie usa per i dati che escono dall'Unione europea: dice solo che prende misure conformi alle leggi sulla protezione dei dati. Quando avremo da BLOOP garanzie scritte, le indicheremo qui.

Potete chiederci una copia delle garanzie scrivendoci.

6. Per quanto tempo

Dati degli ordini e delle richieste di recesso: 10 anni dall'ordine, per gli obblighi di legge e per la difesa dei nostri diritti.
Messaggi e richieste di assistenza: fino a due anni dall'ultima risposta, salvo che servano per un ordine o una contestazione.
Statistiche: Clarity conserva le registrazioni per 30 giorni e i dati aggregati fino a 13 mesi; Shopify e Meta secondo le loro regole. I cookie hanno le durate del punto 10.
Email di novità e offerte: finché non vi cancellate. Dopo, Shopify tiene il registro dell'iscrizione e della cancellazione, che ci serve a dimostrarle e a non scrivervi più.
«Porta una famiglia»: i dati del programma restano a BLOOP finché il programma è attivo; se ci chiedete di cancellarli, giriamo la richiesta a BLOOP. I codici sconto restano nel negozio come gli altri dati degli ordini.
Bottega dei Suoni: l'esito dell'accesso resta sul telefono per 180 giorni, poi si rifà l'accesso. Le preferenze restano finché non cancellate i dati del sito dal browser.
Recensioni: restano pubblicate finché non ci chiedete di toglierle o finché il gioco è in vendita. Quando ne togliamo una, Judge.me la tiene archiviata e non visibile; se ci chiedete di cancellarla del tutto, giriamo la richiesta a Judge.me.

7. I vostri diritti

Potete chiederci in qualsiasi momento di accedere ai vostri dati, correggerli, cancellarli, limitarne il trattamento e riceverli in un formato leggibile da una macchina (portabilità). Potete opporvi ai trattamenti basati sul legittimo interesse (articoli 15-22 GDPR). Dove il trattamento si basa sul consenso potete ritirarlo quando volete; il ritiro non tocca quello che è stato fatto prima. Scrivete a ciao@pozzalume.com: rispondiamo entro un mese.

Avete anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it) o all'autorità del paese in cui vivete o lavorate.

8. Bambini

Il gioco è per le famiglie, ma il sito è pensato per gli adulti: a comprare e a scriverci è sempre un adulto. Il sito non raccoglie dati dei bambini. Vi chiediamo di non scrivere dati dei bambini nei messaggi. Nelle recensioni non vogliamo volti né nomi di bambini: se ne arriva una, la togliamo dal sito e chiediamo a Judge.me di cancellare anche il file della foto. Se pensate che un minore ci abbia dato i suoi dati, scriveteci e li cancelliamo.

9. Modifiche

Se cambiamo il modo in cui trattiamo i dati, aggiorniamo questa informativa e la sua data. Se il cambiamento è importante, lo diciamo sul sito.

I cookie sono piccoli file che il sito salva nel vostro browser. La memoria del browser (localStorage e sessionStorage) serve a scopi simili. Alcuni sono tecnici, servono al sito per funzionare e non richiedono il consenso. Gli altri, per le statistiche e per la pubblicità, partono solo se li accettate.

Alla prima visita il banner vi chiede cosa preferite, con tre pulsanti dello stesso peso: «Rifiuta», «Scegli» e «Accetta». Con «Scegli» decidete categoria per categoria (Necessari, Statistiche, Pubblicità); nessuna casella è accesa in partenza. Se rifiutate, restano solo i cookie tecnici. Ricordiamo la vostra scelta per 12 mesi e la passiamo a Shopify, così vale anche nel checkout.

Potete cambiare idea in qualsiasi momento con il link «Preferenze cookie» in fondo a ogni pagina del sito. Se ritirate un consenso, cancelliamo i cookie di statistiche e di pubblicità salvati sul nostro dominio e la pagina si ricarica. Potete anche cancellare o bloccare i cookie dalle impostazioni del browser.

Necessari (sempre attivi)

I cookie tecnici di Shopify, tra cui _shopify_essential (1 anno: funzionamento del negozio, carrello, checkout e sicurezza), _tracking_consent (1 anno: le vostre scelte sui cookie), localization (1 anno: paese e lingua del negozio), cart_currency e cart (2 settimane: il carrello).
Memoria del nostro sito: base.consent (12 mesi: la vostra scelta sui cookie), base_consent.sync (sessione: passa la scelta a Shopify una volta per visita), base_internal (solo sui dispositivi di chi gestisce il sito, per non contare le sue visite).
Nella Bottega dei Suoni, sul telefono di chi entra: pz-bottega-porta nella memoria locale (180 giorni: l'esito dell'accesso, senza email né chiavi); pz-bottega-viaggio nella memoria di sessione (fino alla chiusura della scheda: riporta alla pagina giusta dopo l'accesso); pz-bottega-guida, pz-bottega-volume e pz-bottega-recensione nella memoria locale (finché non li cancellate: guida già vista, volume scelto, domanda sulla serata già fatta); una copia di pagine e suoni nella memoria del browser, per giocare senza rete.
Nella pagina delle recensioni Judge.me non salva cookie, ma usa la memoria del browser: jdgm_keycdn_detected nella memoria di sessione (fino alla chiusura della scheda: sceglie da dove caricare il modulo); jdgm_reviewed_products nella memoria locale, solo dopo aver mandato una recensione (un anno: ricorda che da quel dispositivo avete già scritto); jdgm_widget_interactions e jdgm_rs_referral nella memoria locale, solo con il consenso «Statistiche» (contano come si usano le recensioni).

«Porta una famiglia» (BLOOP)

bl_customer nella memoria locale: un identificativo che BLOOP usa per riconoscere chi arriva con il link personale di un'altra famiglia e assegnare lo sconto e il codice giusti (punto 2.i). Lo salva lo script di BLOOP su ogni pagina del negozio, anche prima di qualsiasi scelta nel banner, e resta finché non cancellate i dati del sito dal browser.

Statistiche (solo con il consenso «Statistiche»)

I cookie di statistica di Shopify, tra cui _shopify_y e _shopify_analytics (1 anno) e _shopify_s (30 minuti).
Microsoft Clarity: _clck (1 anno) e _clsk (1 giorno) sul nostro dominio, e altri cookie sui domini di Microsoft.

Pubblicità (solo con il consenso «Pubblicità»)

I cookie di marketing di Shopify, tra cui _shopify_marketing (1 anno).
Pixel di Meta: _fbp e _fbc (3 mesi) sul nostro dominio, fr (3 mesi) sul dominio facebook.com.

Le informative dei fornitori: Shopify (privacy.shopify.com), Meta (facebook.com/privacy/policy), Microsoft (privacy.microsoft.com), BLOOP (docs.bloop.plus/legal/privacy-policy) e Cloudflare (cloudflare.com/privacypolicy).