Privacy Policy
Come trattiamo i tuoi dati personali, ai sensi del Reg. UE 2016/679 (GDPR). Scritta leggendo il codice del sito: descrive quello che facciamo davvero.
Chi tratta i tuoi dati
Il titolare del trattamento è Efesto Group S.r.l., Via Coluccio Salutati 7, 20144 Milano (MI), P.IVA 01163110297. Gestiamo drypad.it, l'e-commerce dei tappetini in diatomite Dry Pad, e vendiamo solo in Italia. Per qualsiasi domanda sulla privacy o per esercitare i tuoi diritti scrivi a info@drypad.it; per l'assistenza sugli ordini c'è ordini@drypad.it. Non abbiamo nominato un responsabile della protezione dei dati, perché non siamo tenuti a farlo. Ultimo aggiornamento: 28 ottobre 2026.
Come abbiamo scritto questa pagina
L'abbiamo scritta leggendo il codice del sito, non copiando un modello. Descrive quello che il sito fa oggi, compresi i dettagli scomodi. Se trovi qualcosa che non torna, scrivici a info@drypad.it e la correggiamo.
I dati che ci dai quando ordini
Al checkout ti chiediamo nome, email, telefono e indirizzo di spedizione. Ci servono per farti arrivare il pacco, per risponderti se hai bisogno di assistenza e per emettere i documenti fiscali. Le basi giuridiche sono due: l'esecuzione del contratto (art. 6(1)(b) GDPR) e l'obbligo di legge (art. 6(1)(c) GDPR). Senza questi dati non possiamo spedirti l'ordine. Attenzione a un punto che di solito non viene detto: email, nome, telefono e importo vengono salvati appena li scrivi nel modulo, anche se poi non paghi. Ne parliamo nella sezione sull'email di recupero carrello.
Cosa registriamo insieme all'ordine, oltre a quello che scrivi tu
Insieme all'ordine salviamo i parametri della campagna pubblicitaria da cui sei arrivato e, se in quel momento stavamo confrontando due versioni della pagina d'atterraggio, quale delle due hai visto: servono a sapere quale annuncio e quale pagina hanno prodotto la vendita: la base giuridica è il nostro legittimo interesse a misurare (art. 6(1)(f) GDPR) e puoi opporti scrivendo a info@drypad.it. Solo se hai accettato i cookie di marketing salviamo anche, insieme ai dati del pagamento presso Stripe, il tuo indirizzo IP, il tipo di browser e i codici pubblicitari di Meta _fbp e _fbc: servono unicamente a far riconoscere l'acquisto a Meta, e la base giuridica è il tuo consenso (art. 6(1)(a) GDPR). Se non hai acconsentito non li raccogliamo affatto, perché non avrebbero più alcuno scopo. L'antifrode sul pagamento la fa Stripe con i propri strumenti, in autonomia.
A chi passiamo i dati dell'ordine
Non vendiamo i tuoi dati a nessuno. Li condividiamo con i fornitori che fanno funzionare il negozio: Sendcloud, che prepara le etichette e riceve nome, indirizzo completo, email e telefono; Resend, che invia le email (conferma d'ordine, spedizione in viaggio, link di accesso all'area personale, promemoria del carrello); Vercel, che ospita il sito; Neon, che ospita il database. Questi quattro trattano i dati per nostro conto, come responsabili, con un contratto ai sensi dell'art. 28 GDPR. Stripe e BRT sono invece titolari autonomi: Stripe per il pagamento e l'antifrode, BRT per il trasporto del collo. Oltre a questi fornitori, se hai accettato i cookie di marketing inviamo alcuni dati anche a Meta: è un caso diverso e lo spieghiamo per esteso qui sotto. Le informative privacy di ciascuno sono sui rispettivi siti; se non le trovi scrivici a info@drypad.it e te le mandiamo.
La carta e i dati del pagamento
Il numero della carta non passa mai da noi: lo raccoglie e lo conserva Stripe. Presso Stripe creiamo anche una tua scheda cliente con email, nome e telefono e, al momento dell'acquisto, autorizziamo la carta a restare utilizzabile per un secondo addebito: serve al pulsante che ti permette di aggiungere lo spray con un clic sulla pagina di conferma, senza reinserire i dati. Se non vuoi che il metodo di pagamento resti salvato, scrivici a info@drypad.it e lo rimuoviamo. Stripe tratta questi dati in parte per nostro conto, come responsabile, e in parte come titolare autonomo per l'antifrode e per obblighi di legge suoi.
Le basi giuridiche, in chiaro
Ogni trattamento ha una sua ragione giuridica, e te la diciamo senza giri di parole. Per l'ordine e la spedizione: il contratto (art. 6(1)(b)). Per fatture e registri contabili: l'obbligo di legge (art. 6(1)(c)). Per il Meta Pixel e per i dati che il nostro server invia a Meta: il tuo consenso (art. 6(1)(a)), che puoi revocare quando vuoi. Per le nostre statistiche interne, per l'attribuzione dell'ordine alla campagna, per la sicurezza e l'antiabuso e per l'email di recupero carrello: il legittimo interesse (art. 6(1)(f)), a cui puoi sempre opporti scrivendo a info@drypad.it.
Cosa manda a Meta il nostro server
Solo se hai accettato i cookie di marketing, il nostro server invia a Meta Platforms Ireland Ltd quattro eventi: visualizzazione del prodotto (solo dalla home e dalla scheda prodotto), aggiunta al carrello, inizio del checkout e acquisto. Nei primi tre viaggiano il tuo indirizzo IP e il tuo browser in chiaro, i codici pubblicitari _fbp e _fbc, l'indirizzo della pagina, il prodotto e un valore che ricalcola il nostro server, Nell'evento di acquisto, in più: email, telefono, nome e cognome, città, CAP e paese trasformati in codici SHA-256, cioè in stringhe che non si possono rileggere e che Meta confronta con quelle dei propri utenti, insieme all'elenco degli articoli con quantità e prezzo e al totale dell'ordine. Serve a misurare quali annunci portano vendite e a ottimizzare le campagne.
Se non dai il consenso, a Meta non parte niente
La base giuridica di quegli invii è il tuo consenso (art. 6(1)(a) GDPR) e puoi revocarlo in qualsiasi momento. Senza consenso non parte nulla, e il controllo è doppio: il sito non invia gli eventi e il nostro server li rifiuta se la scelta registrata non è un sì. Lo stesso vale per l'acquisto: al momento del pagamento salviamo se avevi acconsentito oppure no, e in mancanza di un sì esplicito trattiamo la cosa come un rifiuto.
Il Meta Pixel nel browser
Il pixel di Meta si carica solo dopo che hai premuto Accetta tutti sul banner: prima non è presente, e non lo è nemmeno se lasci la domanda senza risposta. Registra la visita al sito, la visualizzazione del prodotto, l'aggiunta al carrello, l'inizio del checkout e l'acquisto. Usa i cookie _fbp e _fbc, che durano 90 giorni; se arrivi da un annuncio, il codice del click (fbclid) viene tenuto nella memoria della scheda e diventa il cookie _fbc solo se accetti. Quando inserisci la tua email al pagamento, il pixel la invia a Meta trasformata in un codice SHA-256 non leggibile, per abbinare l'acquisto all'annuncio. Se rifiuti, il pixel non viene caricato e quei cookie non vengono scritti. Gli eventi che partono dal browser e quelli che partono dal nostro server hanno lo stesso codice identificativo, così Meta li conta una volta sola.
Meta è contitolare con noi
Per la raccolta e la trasmissione di questi dati siamo contitolari insieme a Meta, secondo i criteri fissati dalla Corte di giustizia dell'Unione europea nella sentenza C-40/17 (Fashion ID) e che qui applichiamo noi. Per quello che Meta ne fa dopo, dentro le sue piattaforme e per le sue finalità, Meta è titolare autonomo e risponde in proprio. Puoi esercitare i tuoi diritti indifferentemente verso di noi o verso Meta: siamo entrambi tenuti a risponderti (art. 26(3) GDPR). In pratica noi ci occupiamo di informarti, di raccogliere il tuo consenso e di poterlo dimostrare; Meta si occupa della sicurezza e della conservazione dei dati che riceve e dei diritti che eserciti nei suoi confronti per gli usi propri. Il riparto è quello dell'Addendum sui titolari del trattamento che fa parte delle condizioni degli strumenti aziendali di Meta che abbiamo accettato; se scrivi a noi ti indichiamo come raggiungere Meta per la parte che le compete.
I dati che escono dall'Unione europea
Meta ha sede in Irlanda, ma tratta i dati anche negli Stati Uniti. Il trasferimento avviene sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023, il cosiddetto EU-US Data Privacy Framework, a cui Meta aderisce come azienda certificata: puoi verificarlo su dataprivacyframework.gov. Se quel quadro venisse meno, useremo le clausole contrattuali tipo previste dall'art. 46 GDPR. Senza il tuo consenso, a Meta non inviamo nulla. Restano invece i trasferimenti necessari a farti arrivare l'ordine: Stripe, Resend, Vercel e Neon sono società statunitensi o appartenenti a gruppi statunitensi, e anche quei trasferimenti sono coperti dallo stesso quadro di adeguatezza o dalle clausole contrattuali tipo. Puoi chiederne copia a info@drypad.it.
Le nostre statistiche, senza cookie
Abbiamo delle statistiche fatte in casa che girano sempre, anche se rifiuti i cookie. Possono farlo perché non scrivono e non leggono nulla sul tuo dispositivo: nessun cookie, nessun localStorage. Per distinguere una visita dall'altra, il nostro server calcola un codice: prende il tuo indirizzo IP, il tuo browser, un segreto nostro e la data del giorno, e li trasforma in un hash SHA-256 di 32 caratteri. Nelle statistiche l'indirizzo IP in chiaro non viene mai salvato: entra solo nel calcolo e viene subito buttato via. Il codice cambia ogni notte, quindi non possiamo seguire una persona da un giorno all'altro. Nella stessa giornata, invece, le tue visite sono collegate fra loro.
Cosa misuriamo con queste statistiche
Registriamo: la pagina vista, quanto scorri la pagina, l'aggiunta al carrello, l'avvio del checkout, la chiusura del carrello senza proseguire, i tocchi sulle proposte aggiuntive nel riepilogo, i click ripetuti nello stesso punto e i click a vuoto su qualcosa che sembra cliccabile (servono a capire dove l'interfaccia non funziona), la scelta che fai sul banner cookie insieme alla versione dell'informativa, l'acquisto con importo e numero d'ordine, che scrive il nostro server quando il pagamento è confermato, e, solo nel carrello e nella pagina di pagamento, se il pagamento rapido (Apple Pay o Google Pay) ti compare, se chiudi la sua finestra o se non va a buon fine, con il codice d'errore di Stripe, se l'hai usato dal carrello e, per questi soli eventi, l'app o il browser da cui apri il sito e la versione del sistema del telefono (per esempio «Instagram · iOS 26»): servono a capire perché un pagamento non riesce. Insieme a ogni evento salviamo il tipo di dispositivo, il paese, il dominio del sito da cui arrivi (solo il dominio, mai l'indirizzo completo) e i parametri della campagna pubblicitaria di provenienza; se il link conteneva l'identificativo di clic di Facebook, registriamo soltanto che c'era.
Una cosa onesta su questo codice
Quel codice non è un dato anonimo in senso giuridico: è un dato pseudonimo, perché il segreto usato per calcolarlo lo conserviamo noi. Preferiamo dirtelo invece di chiamarlo anonimo come fanno in tanti. La base giuridica è il legittimo interesse (art. 6(1)(f) GDPR) a capire se il sito funziona e quale annuncio porta davvero vendite, con il minor impatto possibile sulla tua privacy: nessun identificativo stabile, nessuno storage sul tuo dispositivo, nessun dato che ti nomini.
Il tuo diritto di opporti, e il suo limite
Puoi opporti in qualsiasi momento a questa misurazione, ai sensi dell'art. 21 GDPR: scrivi a info@drypad.it, valutiamo la richiesta e ti diciamo cosa possiamo fare. Ti diciamo subito anche il limite tecnico, perché una promessa che non possiamo mantenere non serve a nessuno: siccome il codice cambia ogni notte e non è legato al tuo nome, non abbiamo un modo per riconoscerti domani e metterti in una lista di esclusione. Nel frattempo puoi bloccare la misurazione dal tuo browser, impedendo le richieste di rete verso il nostro sito, oppure usare le impostazioni antitracciamento del browser.
Dove le statistiche incontrano l'ordine
C'è un punto solo in cui i due mondi si toccano, ed è giusto che tu lo sappia. Quando compili il checkout, usiamo il codice giornaliero della visita per ritrovare il tuo atterraggio sul sito e capire da quale annuncio eri arrivato: i parametri della campagna vengono così salvati insieme all'ordine. A Meta quel codice non viene mai inviato: abbiamo scelto di non farlo, per non costruire un ponte fra le statistiche interne e i dati pubblicitari. Resta dentro il nostro database.
Registriamo la scelta che fai sul banner
Quando premi Accetta tutti o Solo necessari, il sito registra da noi la scelta e la versione dell'informativa che ti è stata mostrata. Serve a due cose: sapere quante persone accettano davvero e poter dimostrare il consenso, come il GDPR ci chiede (art. 7(1)). Anche questa registrazione avviene con il codice giornaliero della visita, senza il tuo nome.
L'email di recupero carrello
Se inserisci l'email al checkout ma non completi l'ordine, ti inviamo una email di promemoria. Una sola, e al massimo una ogni 30 giorni per lo stesso indirizzo. In ogni messaggio c'è il link per disiscriverti, che funziona con un clic e senza doverci scrivere. La base giuridica è il legittimo interesse (art. 6(1)(f) GDPR) a recuperare un acquisto lasciato a metà, e puoi opporti subito con quel link o scrivendo a info@drypad.it. Per inviarla conserviamo email, nome, telefono e importo del carrello lasciato aperto.
La lista di chi non vuole più email
Chi si disiscrive non riceve più nulla. Per riuscirci teniamo il tuo indirizzo in un elenco di esclusione: è l'unica cosa che conserviamo di quella richiesta, resta a tempo indeterminato e serve proprio a non scriverti mai più. Ogni volta che il sistema prepara un invio controlla quell'elenco e salta gli indirizzi che ci sono dentro.
L'area personale e il link che ricevi via email
Puoi accedere allo storico dei tuoi ordini senza password: ci chiedi un link, te lo inviamo via email e cliccandolo entri. Quel link vale 15 minuti e una volta sola, poi scade. Da lì in avanti l'accesso resta in un cookie tecnico che dura 30 giorni e che il codice della pagina non può leggere. Base giuridica: l'esecuzione del contratto (art. 6(1)(b) GDPR), perché è il modo con cui ti diamo accesso ai tuoi acquisti.
Sicurezza e antiabuso
Le nostre pagine e le nostre chiamate tecniche hanno un limite di richieste, per evitare che qualcuno le usi per inondarci di traffico o di email. Per contare quelle richieste salviamo nel nostro database il tuo indirizzo IP e, sul modulo di checkout, l'indirizzo email, associati alla pagina chiamata. Sono righe che scadono nel giro di minuti o ore e che cancelliamo automaticamente il giorno dopo. Inoltre chi ospita il sito, Vercel, conserva i propri log delle richieste, che contengono l'indirizzo IP. Base giuridica: il legittimo interesse alla sicurezza del servizio (art. 6(1)(f) GDPR), a cui puoi opporti scrivendo a info@drypad.it.
Cosa non usiamo
Niente TikTok Pixel, niente Google Analytics, niente Microsoft Clarity, niente registrazione delle sessioni o mappe di calore di terze parti. Il codice del sito prevede la possibilità di attivare i primi tre, ma sono spenti e le variabili di configurazione non esistono nell'ambiente di produzione: non partono e non raccolgono nulla. Una versione precedente di questa informativa dichiarava TikTok Pixel e Google Analytics: era un errore, non sono mai stati attivi, e li abbiamo tolti.
Per quanto teniamo i tuoi dati
Fatture e scritture contabili: 10 anni, come impone la legge (art. 2220 del codice civile e normativa IVA). Gli altri dati dell'ordine, come telefono, note interne, tracking e parametri della campagna: il tempo della garanzia legale di 24 mesi e di eventuali contestazioni. Carrelli lasciati aperti: 14 mesi. Statistiche del sito: 14 mesi, e comunque il codice del visitatore cambia ogni notte. Elenco delle disiscrizioni: a tempo indeterminato, perché serve a non scriverti più. Righe dell'antiabuso: ore, cancellate il giorno dopo. Cookie di marketing di Meta, se li accetti: 90 giorni.
I tuoi diritti
Puoi chiederci l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità. Puoi opporti ai trattamenti fondati sul legittimo interesse: statistiche interne, attribuzione delle campagne, sicurezza e email di recupero carrello. Puoi revocare il consenso ai cookie di marketing in qualsiasi momento dal link Preferenze cookie nel footer. Due limiti reali, detti in anticipo: sulle statistiche non sappiamo chi sei, quindi non possiamo ricondurti quei dati senza informazioni in più (art. 11(2) GDPR); la portabilità (art. 20 GDPR) riguarda i dati che trattiamo sulla base del contratto o del tuo consenso, non quelli fondati sul legittimo interesse.
Come e quando ti rispondiamo
Per esercitare un diritto basta una email a info@drypad.it. Rispondiamo entro un mese; se la richiesta è complessa possiamo prenderci fino a due mesi in più, ma te lo diciamo entro il primo (art. 12(3) GDPR). Se non riusciamo a identificarti con quello che ci scrivi, possiamo chiederti qualche informazione in più: serve a non consegnare i dati di una persona a un'altra.
Nessuna decisione automatica su di te
Non usiamo sistemi che prendono decisioni automatizzate capaci di produrre effetti giuridici o effetti analoghi nei tuoi confronti. Nessun algoritmo decide se puoi comprare, a che prezzo o come vieni trattato. Noi non costruiamo profili: non abbiamo categorie di clienti né punteggi. I dati che, con il tuo consenso, inviamo a Meta vengono però usati da Meta anche per i suoi profili pubblicitari: è esattamente il motivo per cui prima te lo chiediamo.
Se qualcosa non va: reclamo al Garante
Se pensi che stiamo trattando i tuoi dati in modo scorretto, scrivici prima a info@drypad.it: preferiamo sistemare direttamente. In ogni caso hai il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), che è l'autorità di controllo italiana, e di rivolgerti all'autorità giudiziaria.
