Informativa sul trattamento dei dati personali

Resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 agli utenti del sito www.bestbefore.it

Versione 1.0 — Ultimo aggiornamento: 22 settembre 2026

Art. 1 — Titolare del trattamento

1.1 Il titolare del trattamento è NCRM S.r.l. a socio unico, con sede legale in Piazza dell'Emporio 11/A, 00153 Roma, codice fiscale e partita IVA 18507121004, iscritta al Registro delle Imprese di Roma, REA RM-1789366, capitale sociale euro 300 i.v., titolare del marchio Bestbefore (il «Titolare»).

1.2 Per ogni questione relativa ai dati personali l'Utente può scrivere all'indirizzo e-mail servizio-clienti@bestbefore.it o per posta a NCRM S.r.l., Piazza dell'Emporio 11/A, 00153 Roma.

1.3 Il Titolare non ha designato un responsabile della protezione dei dati, non ricorrendo i presupposti dell'art. 37 del Regolamento.

Art. 2 — Definizioni e ambito di applicazione

2.1 Ai fini della presente informativa si intende per: «Regolamento» il Regolamento (UE) 2016/679; «Codice privacy» il d.lgs. 30 giugno 2003, n. 196; «Sito» il sito www.bestbefore.it e il relativo negozio online; «Utente» la persona fisica che naviga sul Sito o interagisce con il Titolare tramite il Sito; «Cliente» l'Utente che effettua un ordine; «Account» l'area personale che l'Utente può attivare sul Sito; «Dati» i dati personali dell'Utente; «Condizioni» le Condizioni generali di vendita pubblicate sul Sito.

2.2 L'informativa riguarda i Dati degli Utenti che navigano sul Sito, dei Clienti, dei titolari di un Account, degli iscritti alla newsletter, di chi contatta il servizio clienti e di chi si propone come fornitore o partner commerciale tramite il Sito.

2.3 Il Sito è destinato a persone maggiorenni. Il Titolare non raccoglie consapevolmente Dati di minori di quattordici anni e cancella i Dati di cui accerti tale provenienza.

2.4 L'informativa non riguarda i siti e i servizi di terzi raggiungibili tramite collegamenti presenti sul Sito, quali le pagine social del Titolare e i sistemi di tracciamento delle spedizioni dei corrieri, per i quali valgono le informative dei rispettivi titolari.

Art. 3 — Dati trattati e loro fonte

3.1 Dati forniti dall'Utente: a) dati identificativi e di contatto: nome, cognome, indirizzi di consegna e di fatturazione, e-mail, numero di telefono; b) dati dell'ordine: prodotti acquistati, importi, codici sconto, note alla consegna, storico degli acquisti; c) dati di pagamento: il Titolare non riceve né conserva i numeri delle carte di pagamento, trattati direttamente dai prestatori di servizi di pagamento di cui all'art. 5; il Titolare riceve l'esito, il metodo e i riferimenti della transazione; d) dati dell'Account: e-mail utilizzata per l'accesso, che avviene tramite un codice inviato all'Utente senza password, indirizzi salvati e storico degli ordini; e) contenuto delle comunicazioni con il servizio clienti tramite chat, e-mail, telefono e modulo di contatto; f) e-mail e preferenze comunicate con l'iscrizione alla newsletter; g) dati forniti da chi si propone come fornitore o partner commerciale tramite il modulo dedicato.

3.2 Dati raccolti automaticamente durante la navigazione, nei limiti del consenso prestato tramite il banner e secondo la Cookie policy: indirizzo IP, identificativi del dispositivo e del browser, pagine visitate, prodotti visualizzati e aggiunti al carrello, sito di provenienza, data e ora di accesso.

3.3 Dati generati dal Titolare: storico degli ordini e delle comunicazioni, gestione di resi, recesso, reclami e garanzia, registrazione dei consensi con data e modalità di acquisizione.

3.4 Se l'Utente utilizza Shop Pay, i dati di contatto e di consegna sono trasmessi al Titolare da Shopify sulla base delle informazioni che l'Utente ha salvato nel proprio account Shop.

3.5 Il Titolare non richiede dati appartenenti a categorie particolari (art. 9 del Regolamento). Le informazioni su allergie o intolleranze eventualmente comunicate dall'Utente per ricevere assistenza sono trattate sulla base della richiesta stessa dell'Utente (art. 9, par. 2, lett. a), al solo fine di rispondere, e non sono conservate oltre la gestione della richiesta.

Art. 4 — Finalità, basi giuridiche e tempi di conservazione

4.1 I Dati sono trattati per le finalità, sulle basi giuridiche e per i tempi indicati nella tabella che segue. Decorsi i termini, i Dati sono cancellati o resi anonimi.

Finalità	Base giuridica	Conservazione	Conferimento
a) Gestione dell'ordine: conclusione ed esecuzione del contratto, pagamento, consegna, comunicazioni di servizio (conferma, spedizione, annullamento, rimborso), resi, recesso, garanzia legale; un unico promemoria, privo di contenuti promozionali, a chi ha iniziato un acquisto lasciando la propria e-mail senza completarlo	esecuzione del contratto e misure precontrattuali adottate su richiesta dell'Utente (art. 6, par. 1, lett. b)	dieci anni dalla conclusione dell'ordine, per gli obblighi contabili; per gli acquisti non completati, trenta giorni	necessario: senza i Dati l'ordine non può essere evaso
b) Account: attivazione e gestione dell'area personale, accesso tramite codice via e-mail, consultazione dello storico degli ordini e degli indirizzi salvati	esecuzione del contratto (art. 6, par. 1, lett. b)	fino alla cancellazione dell'Account da parte dell'Utente o dopo ventiquattro mesi di inattività; i Dati degli ordini restano per il termine di cui alla lett. a)	facoltativo: l'acquisto è possibile anche senza Account
c) Adempimenti di legge: obblighi contabili e fiscali, riscontro a richieste dell'autorità	obbligo legale (art. 6, par. 1, lett. c)	dieci anni (art. 2220 c.c.) o il diverso termine di legge	necessario
d) Sicurezza alimentare: comunicazioni di ritiro o richiamo di un prodotto (art. 19 del Regolamento (CE) n. 178/2002)	obbligo legale (art. 6, par. 1, lett. c)	insieme ai Dati dell'ordine	necessario
e) Assistenza clienti: risposta a richieste, reclami e segnalazioni ricevute tramite chat, e-mail, telefono o modulo di contatto	esecuzione del contratto e misure precontrattuali (art. 6, par. 1, lett. b)	ventiquattro mesi dalla chiusura della richiesta; in caso di contestazione, fino alla definizione della controversia	necessario per ottenere riscontro
f) Sicurezza del Sito, prevenzione delle frodi, accertamento ed esercizio dei diritti del Titolare	legittimo interesse del Titolare (art. 6, par. 1, lett. f)	registri di accesso dodici mesi; in caso di contestazione, fino alla definizione della controversia	—
g) Comunicazioni commerciali via e-mail: newsletter, offerte, novità, avvisi su prodotti in arrivo, ulteriori promemoria e offerte relativi a un acquisto non completato, anche personalizzate in base agli acquisti, ai prodotti visualizzati e alle interazioni dell'Utente con le e-mail ricevute	consenso (art. 6, par. 1, lett. a; art. 130 del Codice privacy)	fino alla revoca e comunque non oltre ventiquattro mesi dall'ultima interazione dell'Utente; la prova del consenso è conservata per cinque anni dalla revoca	facoltativo: senza consenso l'Utente non riceve comunicazioni commerciali, ma riceve comunque le comunicazioni di servizio
h) Cookie e strumenti di tracciamento non necessari: statistiche di navigazione, misurazione e ottimizzazione della pubblicità	consenso prestato tramite il banner (art. 122 del Codice privacy)	le durate sono indicate nella Cookie policy	facoltativo
i) Statistiche aggregate sull'uso del Sito	legittimo interesse del Titolare (art. 6, par. 1, lett. f)	dati resi anonimi	—
j) Contatti di fornitori e partner commerciali	misure precontrattuali (art. 6, par. 1, lett. b) e legittimo interesse (lett. f)	ventiquattro mesi dall'ultimo contatto, salvo conclusione di un contratto	necessario per ottenere riscontro

4.2 Il consenso alle comunicazioni commerciali, anche personalizzate, è raccolto tramite una casella non preselezionata al momento dell'ordine o tramite il modulo di iscrizione alla newsletter. Ogni comunicazione commerciale contiene un collegamento per cancellare l'iscrizione, che fa cessare anche la personalizzazione. La revoca non pregiudica la liceità del trattamento precedente.

4.3 Il Titolare registra il consenso con data, origine e modalità di acquisizione, ai fini di prova.

Art. 5 — Destinatari dei Dati

5.1 I Dati sono trattati dal personale del Titolare autorizzato e istruito.

5.2 I Dati sono comunicati, per le sole finalità di cui all'art. 4, ai seguenti destinatari, che agiscono quali responsabili del trattamento designati dal Titolare ai sensi dell'art. 28 del Regolamento, ove non diversamente indicato: a) piattaforma di commercio elettronico: Shopify International Limited, Dublino (Irlanda), che ospita il Sito e ne gestisce ordini, checkout, Account, notifiche e chat del servizio clienti (art. 6); b) prestatori di servizi di pagamento: Shopify Payments, con i prestatori Stripe e Adyen, per i pagamenti con carta; PayPal (Europe) S.à r.l. et Cie, S.C.A., Lussemburgo, per i pagamenti tramite PayPal; Apple e Google per i portafogli Apple Pay e Google Pay scelti dall'Utente. I prestatori di servizi di pagamento trattano i Dati anche quali titolari autonomi per gli adempimenti loro imposti dalla legge, tra cui la prevenzione delle frodi e dell'antiriciclaggio, secondo le rispettive informative; c) logistica: Aervaro S.r.l., Pioltello (MI), che custodisce i prodotti e prepara gli ordini; Sendcloud B.V., Paesi Bassi, che gestisce le etichette di spedizione e il tracciamento; i corrieri di volta in volta incaricati della consegna, indicati all'Utente nella comunicazione di spedizione, quali titolari autonomi del trasporto; d) comunicazioni commerciali: Klaviyo, Inc., Stati Uniti, per l'invio della newsletter e la gestione dei consensi; e) analisi e pubblicità, nei limiti del consenso prestato tramite il banner: Microsoft Ireland Operations Limited (Microsoft Clarity) per le statistiche di navigazione; Meta Platforms Ireland Limited (Meta Pixel e Conversions API) e Google Ireland Limited (Google Ads) per la misurazione e l'ottimizzazione delle campagne pubblicitarie; Stape Europe OÜ, Estonia, per la trasmissione degli eventi di navigazione alle piattaforme predette. Per la raccolta dei Dati tramite i rispettivi strumenti Meta e Google agiscono quali contitolari del trattamento insieme al Titolare, secondo gli accordi resi disponibili dalle stesse piattaforme; per i trattamenti successivi svolti per finalità proprie agiscono quali titolari autonomi, secondo le rispettive informative; f) posta elettronica: Google Ireland Limited, per la gestione della corrispondenza del Titolare; g) consulenti contabili, fiscali e legali del Titolare, nei limiti degli incarichi ricevuti; h) autorità pubbliche e organismi di controllo, su loro richiesta o per obbligo di legge.

5.3 L'elenco aggiornato dei responsabili del trattamento può essere richiesto al Titolare ai recapiti di cui all'art. 1.2.

Art. 6 — Trattamenti svolti da Shopify

6.1 Il Sito è ospitato sulla piattaforma Shopify, fornita da Shopify International Limited. Shopify raccoglie e tratta i Dati degli Utenti per conto del Titolare, quale responsabile del trattamento, per la gestione del Sito, degli ordini, dei pagamenti, degli Account, delle notifiche e della chat, e li condivide con i propri fornitori, anche situati in Paesi diversi da quelli dell'Utente, alle condizioni di cui all'art. 7.

6.2 Per alcuni servizi Shopify tratta i Dati per finalità proprie, quale titolare autonomo del trattamento: il portafoglio Shop Pay e l'app Shop, se l'Utente sceglie di salvare i propri dati per acquisti futuri o di creare un account Shop tramite la funzione «Ricordami» al momento del pagamento; la prevenzione delle frodi; il miglioramento dei propri servizi; l'utilizzo dei Dati, insieme a quelli raccolti presso altri negozi ospitati da Shopify, per analisi, personalizzazione e pubblicità («Shopify Network Intelligence»), nei limiti del consenso prestato dall'Utente tramite il banner.

6.3 I trattamenti di cui all'art. 6.2 sono descritti nell'Informativa sulla privacy per i consumatori di Shopify, disponibile all'indirizzo https://www.shopify.com/it/legal/privacy/customers. L'Utente può opporsi ai trattamenti svolti da Shopify per finalità proprie tramite il portale https://privacy.shopify.com.

Art. 7 — Trasferimenti di Dati fuori dallo Spazio economico europeo

7.1 I Dati sono conservati nell'Unione europea. Shopify conserva i dati del Sito, degli ordini e dei Clienti in server situati nell'Unione europea; Stape Europe OÜ utilizza server situati in Francia; Aervaro S.r.l. e Sendcloud B.V. trattano i Dati nell'Unione europea.

7.2 Alcuni destinatari trattano i Dati, in tutto o in parte, in Paesi fuori dallo Spazio economico europeo, sulla base delle seguenti garanzie: Shopify, per i trattamenti svolti in Canada, la decisione di adeguatezza della Commissione europea e, per i trattamenti svolti dai propri fornitori negli Stati Uniti, le norme vincolanti d'impresa approvate dalle autorità europee e le clausole contrattuali standard; Klaviyo, Meta, Google e Microsoft, per i trattamenti svolti negli Stati Uniti, la certificazione al quadro EU-U.S. Data Privacy Framework e le clausole contrattuali standard adottate dalla Commissione europea; Stape, per i propri sub-responsabili situati negli Stati Uniti, le clausole contrattuali standard.

7.3 L'Utente può ottenere copia delle garanzie adottate scrivendo ai recapiti di cui all'art. 1.2.

Art. 8 — Diritti dell'Utente

8.1 L'Utente ha il diritto di ottenere dal Titolare l'accesso ai propri Dati, la loro rettifica, la cancellazione, la limitazione del trattamento e la portabilità, nonché di opporsi al trattamento fondato sul legittimo interesse (artt. 15-21 del Regolamento).

8.2 L'Utente può revocare in ogni momento i consensi prestati: per le comunicazioni commerciali, tramite il collegamento presente in ogni e-mail o scrivendo ai recapiti di cui all'art. 1.2; per i cookie, tramite la voce «Gestisci le preferenze» presente nel piè di pagina del Sito. L'Utente può opporsi in ogni momento all'invio di comunicazioni commerciali.

8.3 Le richieste sono inviate ai recapiti di cui all'art. 1.2. Il Titolare risponde entro un mese dal ricevimento, prorogabile di due mesi nei casi previsti dall'art. 12 del Regolamento, e può chiedere elementi per verificare l'identità del richiedente. Il Titolare conserva traccia delle richieste ricevute e dei riscontri forniti per dieci anni. I Dati che il Titolare è tenuto a conservare per legge, quali quelli relativi agli ordini e ai documenti contabili, non sono cancellati prima della scadenza dei relativi termini.

8.4 L'Utente ha il diritto di proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, e di ricorrere all'autorità giudiziaria.

Art. 9 — Processi decisionali automatizzati e profilazione

9.1 Il Titolare non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sull'Utente o incidano in modo analogo sulla sua persona. I sistemi di prevenzione delle frodi di Shopify e dei prestatori di servizi di pagamento possono segnalare un ordine come a rischio; in tal caso il Titolare esamina l'ordine prima di accettarlo o rifiutarlo, secondo le Condizioni.

9.2 La personalizzazione delle comunicazioni commerciali di cui all'art. 4.1, lett. g), consiste nella selezione dei contenuti da inviare in base agli acquisti, ai prodotti visualizzati o lasciati nel carrello e alle interazioni dell'Utente con le e-mail ricevute. Non produce effetti giuridici né conseguenze significative per l'Utente, che può opporvisi in ogni momento revocando il consenso con le modalità di cui all'art. 8.2.

Art. 10 — Sicurezza

10.1 Il Titolare adotta misure tecniche e organizzative adeguate ai rischi del trattamento, tra cui la cifratura delle comunicazioni con il Sito, il controllo degli accessi con autenticazione a due fattori, la limitazione degli accessi al personale autorizzato, la minimizzazione dei Dati e la designazione per iscritto dei responsabili del trattamento.

10.2 In caso di violazione dei Dati che presenti un rischio per i diritti dell'Utente, il Titolare notifica la violazione al Garante e, ove il rischio sia elevato, la comunica all'Utente, ai sensi degli artt. 33 e 34 del Regolamento.

Art. 11 — Cookie e strumenti di tracciamento

11.1 L'uso di cookie e di strumenti analoghi sul Sito è descritto nella Cookie policy, che costituisce parte integrante della presente informativa. I cookie non necessari sono utilizzati solo con il consenso dell'Utente, prestato tramite il banner al primo accesso e modificabile in ogni momento tramite la voce «Gestisci le preferenze» nel piè di pagina del Sito.

Art. 12 — Modifiche

12.1 La presente informativa può essere aggiornata per adeguarla a modifiche dei trattamenti o della normativa. La versione in vigore è quella pubblicata sul Sito, con l'indicazione del numero di versione e della data di ultimo aggiornamento. Le versioni precedenti sono disponibili su richiesta al Titolare. Le modifiche sostanziali sono comunicate agli iscritti alla newsletter con le modalità ritenute più idonee.