Informativa sulla privacy

Informativa sulla privacy e sui cookie · versione del 6 ottobre 2026

Questa informativa spiega quali dati personali trattiamo quando visiti hollowharvestrpg.com, compri, ti iscrivi alla newsletter, lasci una recensione o ci scrivi, perché lo facciamo e quali diritti hai (articoli 13 e 14 del Regolamento UE 2016/679, «GDPR», e Codice in materia di protezione dei dati personali, d.lgs. 196/2003). La parte sui cookie è al punto 10.

1. Chi è il titolare del trattamento

Samuel De Biasi, Via Gioacchino Rossini 21B, 33041 Aiello del Friuli (UD), Italia · hello@hollowharvestrpg.com · +39 351 757 9598. Per qualunque domanda o richiesta sui tuoi dati scrivi a questa email. Non abbiamo nominato un responsabile della protezione dei dati (DPO), perché per un’attività come la nostra non è obbligatorio.

2. Quali dati trattiamo, perché, e su quale base

a) Acquisti

Nome e cognome, email, indirizzo di fatturazione, telefono se lo inserisci, prodotti comprati, importi, codici sconto, lingua e paese, dati tecnici del checkout (per esempio l’indirizzo IP). I dati della carta li tratta direttamente il fornitore del pagamento: noi non li vediamo. Li usiamo per concludere ed eseguire il contratto, mandarti i file, assisterti, gestire garanzia e recesso. Base giuridica: l’esecuzione del contratto (art. 6, par. 1, lett. b, GDPR).

Se prima del pagamento chiedi di ricevere subito i file rinunciando al recesso, la tua scelta, con data, ora, lingua e versione del testo, resta registrata nell’ordine, perché dobbiamo poterla dimostrare. Base giuridica: obbligo di legge (art. 6, par. 1, lett. c, GDPR; art. 59 del Codice del Consumo).

b) Obblighi di legge e difesa dei nostri diritti

Conserviamo i dati degli ordini e le comunicazioni che li riguardano per adempiere agli obblighi di legge (per esempio fiscali) e per difendere i nostri diritti in caso di contestazione. Basi giuridiche: obbligo di legge e legittimo interesse (art. 6, par. 1, lett. c e f, GDPR).

c) Newsletter e primo atto gratuito

Se lasci l’email nel modulo del sito per avere «The Road In», il primo atto gratuito, ti iscrivi alla nostra newsletter: ti mostriamo subito il link al regalo e poi, di tanto in tanto, ti mandiamo email con novità e offerte sui nostri giochi. Trattiamo l’email e l’informazione su dove ti sei iscritto. Base giuridica: il tuo consenso (art. 6, par. 1, lett. a, GDPR; art. 130 del Codice privacy). Puoi ritirarlo quando vuoi, con il link di cancellazione in fondo a ogni email o scrivendoci; il ritiro non tocca quello che è stato fatto prima. Nel checkout puoi anche spuntare «Inviami email con notizie e offerte»: vale lo stesso.

d) Email a chi ha già comprato

Se hai comprato da noi, possiamo scriverti all’indirizzo usato per l’ordine per proporti prodotti simili a quelli che hai comprato, anche senza la newsletter, finché non ti opponi (art. 130, comma 4, del Codice privacy). Puoi opporti subito o in qualunque momento, gratis, con il link in fondo a ogni email o scrivendoci. Base giuridica: legittimo interesse (art. 6, par. 1, lett. f, GDPR).

e) Richieste di assistenza e recesso

Quando ci scrivi (modulo dei contatti, email) o usi la pagina «Recedi dal contratto», trattiamo i dati che ci mandi per risponderti e gestire la richiesta. Basi giuridiche: esecuzione del contratto o di misure precontrattuali, obbligo di legge per il recesso, legittimo interesse a rispondere (art. 6, par. 1, lett. b, c, f, GDPR).

f) Funzionamento e sicurezza del sito

Per mostrarti il sito, ricordare carrello, lingua e valuta e proteggere il negozio da frodi e abusi, Shopify tratta dati tecnici come indirizzo IP, browser, dispositivo e pagine viste, e usa i cookie tecnici del punto 10. Base giuridica: legittimo interesse (art. 6, par. 1, lett. f, GDPR); per i cookie tecnici non serve il consenso (art. 122 del Codice privacy).

g) Statistiche, solo con il tuo consenso

Se nel banner accetti i cookie di «Analisi», usiamo le statistiche di Shopify e Microsoft Clarity per capire come viene usato il sito e migliorarlo: pagine viste, provenienza della visita (per esempio da quale inserzione), clic, scorrimento, e registrazioni pseudonime di come ti muovi sulla pagina. Base giuridica: il tuo consenso (art. 6, par. 1, lett. a, GDPR; art. 122 del Codice privacy). Senza consenso, Clarity non si carica.

h) Pubblicità, solo con il tuo consenso

Se accetti i cookie di «Marketing», usiamo il pixel di Meta (Facebook e Instagram), anche attraverso l’app Facebook & Instagram di Shopify e la sua API Conversions, per misurare visite e acquisti che arrivano dalle nostre inserzioni e per mostrare inserzioni a chi ha visitato il sito. Meta riceve identificativi del browser e dei cookie, indirizzo IP, pagine viste ed eventi (per esempio «ha visto il prezzo», «ha iniziato il pagamento», «si è iscritto», «ha comprato», con il valore); per gli acquisti Shopify può mandare a Meta anche email e telefono in forma cifrata (hash). Per la raccolta e la trasmissione dei dati siamo contitolari con Meta Platforms Ireland Limited; quello che Meta fa dopo lo decide Meta, come titolare autonomo, secondo la sua informativa. Base giuridica: il tuo consenso (art. 6, par. 1, lett. a, GDPR; art. 122 del Codice privacy). Senza consenso, il pixel non si carica.

i) Gioco del dado e scelta della lingua

Lo stato del gioco del dado, lo sconto trovato e la lingua che scegli restano nel tuo browser (memoria locale, punto 10): non li riceviamo. Servono a darti il servizio che chiedi.

j) Recensioni

Se lasci una recensione dalla finestra «Lascia una recensione» del sito, trattiamo le stelle, il testo, il nome con cui firmi (se lo scrivi), l’email, la lingua della pagina e, se li aggiungi, le foto e i video. Ci servono per leggere la tua opinione, risponderti, controllare che la recensione venga da chi ha comprato (l’email la confrontiamo con gli ordini e non la pubblichiamo mai) e, se decidiamo di pubblicarla, mostrarla su questo sito con il nome che hai scritto e con le foto e i video. Foto e video vanno dal tuo browser direttamente a Cloudinary, che li conserva per noi (punto 4). Basi giuridiche: per la pubblicazione, il tuo consenso, che dai inviando la recensione (art. 6, par. 1, lett. a, GDPR); per leggere le recensioni e pubblicare solo quelle di clienti veri, il nostro legittimo interesse (art. 6, par. 1, lett. f, GDPR; art. 22, comma 4-bis, del Codice del Consumo). Puoi ritirare il consenso quando vuoi scrivendoci: togliamo la recensione dal sito e cancelliamo foto e video.

3. Se non ci dai i dati

I dati dell’acquisto servono per concludere il contratto: senza, non possiamo venderti niente. L’email per la newsletter e i consensi ai cookie di analisi e marketing sono facoltativi: se li rifiuti, il sito funziona allo stesso modo. Anche lasciare una recensione è facoltativo; se la lasci, l’email serve a controllare che venga da chi ha comprato. Non prendiamo decisioni automatizzate che producono effetti giuridici su di te.

4. A chi arrivano i dati

  • Shopify (Shopify International Limited, Irlanda, e società del suo gruppo): ospita il negozio, il checkout, i pagamenti e le email degli ordini e della newsletter, come nostro responsabile del trattamento. Per alcuni servizi suoi (per esempio Shop, Shop Pay e la prevenzione delle frodi) Shopify è titolare autonomo: vedi privacy.shopify.com.
  • Fornitori dei pagamenti che scegli nel checkout (Shopify Payments con Stripe, PayPal, Klarna, Google Pay, Apple Pay): titolari autonomi per i dati del pagamento.
  • Meta Platforms Ireland Limited, solo con il consenso «Marketing» (punto 2.h).
  • Microsoft Ireland Operations Limited, per Clarity, solo con il consenso «Analisi» (punto 2.g).
  • Cloudinary (Cloudinary Ltd., Israele, e Cloudinary Inc., Stati Uniti): conserva per noi le foto e i video che aggiungi a una recensione (punto 2.j), come nostro responsabile del trattamento.
  • Google Ireland Limited: i file si scaricano da Google Drive. Quando apri il link, Google tratta i tuoi dati di navigazione come titolare autonomo, secondo la sua informativa.
  • Chi gestisce per noi la posta elettronica del dominio (inoltro della casella hello@hollowharvestrpg.com), commercialista e consulenti, e le autorità quando la legge lo impone.

Non vendiamo i tuoi dati a nessuno.

5. Dati fuori dall’Unione europea

Alcuni di questi fornitori trattano dati anche fuori dallo Spazio economico europeo, soprattutto negli Stati Uniti, in Canada e in Israele. In quei casi il trasferimento si basa su una decisione di adeguatezza della Commissione europea (per il Canada e per Israele; per gli Stati Uniti, per le società che aderiscono al Data Privacy Framework UE-USA) o sulle clausole contrattuali tipo approvate dalla Commissione (art. 45 e 46 GDPR). Puoi chiederci una copia delle garanzie scrivendoci.

6. Per quanto tempo

  • Dati degli ordini, dell’eventuale consenso alla consegna immediata e delle richieste di recesso: 10 anni dall’ordine, per gli obblighi di legge e la difesa dei nostri diritti.
  • Newsletter: finché non ti cancelli, o finché non smettiamo di mandarla.
  • Email a chi ha comprato: finché non ti opponi.
  • Richieste di assistenza: fino a due anni dall’ultima risposta, salvo che servano per un ordine o una contestazione.
  • Recensioni, con foto e video: finché la recensione resta sul sito; quelle che non pubblichiamo, al massimo due anni. Se ci chiedi di toglierla, la cancelliamo subito.
  • Statistiche: Clarity conserva le registrazioni per 30 giorni e i dati aggregati fino a 13 mesi; Shopify e Meta secondo le loro regole. I cookie hanno le durate del punto 10.

7. I tuoi diritti

Puoi chiederci in qualunque momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile da una macchina (portabilità), e puoi opporti ai trattamenti basati sul legittimo interesse, e sempre al marketing (articoli 15-22 GDPR). Dove il trattamento si basa sul consenso puoi ritirarlo quando vuoi. Scrivi a hello@hollowharvestrpg.com: rispondiamo entro un mese. Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it) o all’autorità del paese in cui vivi o lavori.

8. Minori

Il sito e i prodotti non sono pensati per minori di 14 anni e non raccogliamo consapevolmente i loro dati. Se pensi che un minore ci abbia dato i suoi dati, scrivici e li cancelliamo.

9. Modifiche

Se cambiamo il modo in cui trattiamo i dati, aggiorniamo questa informativa e la sua data. Se il cambiamento è importante, lo diciamo sul sito o per email.

I cookie sono piccoli file che il sito salva nel tuo browser; la memoria locale del browser (localStorage e sessionStorage) serve a scopi simili. Alcuni sono tecnici, servono al sito per funzionare e non richiedono consenso. Gli altri (analisi e marketing) li attiviamo solo se li accetti.

Alla prima visita il banner ti chiede cosa preferisci: «Accetta», «Declina» o «Gestisci le preferenze», per scegliere categoria per categoria (Necessario, Personalizzazione, Marketing, Analisi). Se chiudi o declini, restano solo i cookie tecnici, e non ti richiediamo il consenso a ogni visita. Puoi cambiare idea in qualunque momento con il link «Preferenze cookie» in fondo a ogni pagina del sito, o nel checkout con il link «Cookie». Puoi anche cancellare o bloccare i cookie dalle impostazioni del browser.

Tecnici (sempre attivi)

  • _shopify_essential (Shopify, 1 anno): funzionamento del negozio, carrello, checkout e sicurezza.
  • _tracking_consent (Shopify, 1 anno): ricorda le tue scelte sui cookie.
  • localization (Shopify, 1 anno): paese, lingua e valuta del negozio.
  • cart, cart_currency (Shopify, 2 settimane): il carrello e la sua valuta.
  • discount_code (Shopify, sessione): il codice sconto applicato.
  • _shop_app_essential (dominio shop.app, 1 anno), shopify_pay, login_with_shop_finalize: accesso con Shop e Shop Pay, se li usi.
  • Memoria locale del nostro sito: hh-lingua-scelta (la lingua che scegli, finché non la cancelli), hh-lingua-auto (sessione: il sito cambia lingua da solo al massimo una volta), hh-d20:3 (i tuoi tiri del dado e lo sconto trovato, finché non li cancelli), hh-d20-applied e hh-dlc (sessione: lo sconto applicato e la risposta all’offerta di The Hollow Year), hh-recesso (sessione: la richiesta di consegna immediata, quando te la chiediamo prima del pagamento), hh-wd (sessione: la copia della dichiarazione di recesso che hai appena mandato), hh_internal (solo sui dispositivi di chi gestisce il sito).
  • Altre voci tecniche della memoria locale che Shopify usa per il checkout e per Shop (per esempio signInWithShop, consentHeader).

Analisi (solo con il consenso «Analisi»)

  • _shopify_analytics, _shopify_y, shop_analytics (Shopify, 1 anno), _shopify_s (Shopify, 30 minuti), _landing_page, _orig_referrer (Shopify, 2 settimane): statistiche del negozio.
  • _clck (1 anno) e _clsk (1 giorno) sul nostro dominio, CLID (1 anno), MUID (13 mesi), MR (7 giorni), SM (sessione) e ANONCHK (10 minuti) sui domini di Microsoft: Microsoft Clarity.
  • hh_lead (memoria di sessione): evita di contare due volte la stessa iscrizione.

Marketing (solo con il consenso «Marketing»)

  • _shopify_marketing (Shopify, 1 anno).
  • _fbp e _fbc (3 mesi) sul nostro dominio, fr (3 mesi) sul dominio facebook.com: pixel di Meta.

Non usiamo cookie di «Personalizzazione» nostri. Informative dei fornitori: Shopify, Meta, Microsoft, Google.