La presente informativa, che sostituisce la versione 1.0 del 15 ottobre 2026, descrive come DREAMLAND SOCIETA' A RESPONSABILITA' LIMITATA, che opera con il marchio EL SPA, tratta i dati personali degli utenti che visitano il sito, utilizzano l'e-commerce, interagiscono con l'Assistente AI, inviano richieste, acquistano prodotti o servizi, acquistano o ricevono voucher regalo, richiedono la spedizione di prodotti beauty, inviano recensioni o prestano consensi facoltativi.
1. Titolare del trattamento
Titolare: DREAMLAND SOCIETA' A RESPONSABILITA' LIMITATA - P. IVA e C.F. 13233911000 - sede legale Via Plinio 15/C, 00193 Roma (RM), Italia - e-mail: mail@elspa.it - telefono: +39 06 68192869.
Alla data della presente informativa non è stato nominato un Responsabile della Protezione dei Dati (RPD/DPO). Le richieste relative alla privacy e all'esercizio dei diritti possono essere inviate all'indirizzo e-mail sopra indicato.
2. Ambito e principi
Il trattamento avviene secondo i principi di liceità, correttezza, trasparenza, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza. EL SPA adotta misure di privacy by design e by default e limita gli accessi ai dati al personale autorizzato secondo ruoli e necessità operative.
3. Dati trattati
- Dati identificativi e di contatto: nome, cognome, e-mail, telefono.
- Dati relativi ad acquisti e ordini: prodotti e trattamenti acquistati, importi, coupon, stato dell'ordine, voucher, modalità di consegna e ritiro.
- Dati di spedizione: nome del destinatario, via/indirizzo, numero civico, CAP, città, provincia e Paese, quando il Cliente sceglie la spedizione di prodotti beauty.
- Dati relativi ai destinatari di regali/voucher: nome, e-mail del destinatario, messaggio regalo, data/modalità di consegna quando forniti dall'acquirente.
- Dati di pagamento: i dati necessari al pagamento sono trattati tramite Stripe; EL SPA non conserva i dati completi della carta di pagamento.
- Dati di contatto e richieste: contenuto dei messaggi inviati tramite moduli di contatto e richieste di primo colloquio Mindfulness.
- Recensioni: nome, eventuale e-mail, voto, trattamento indicato e testo della recensione.
- Dati tecnici: identificativi di sessione, informazioni necessarie al funzionamento del sito, log tecnici minimizzati e preferenze privacy/cookie.
- Dati relativi ai consensi: tipo di consenso, valore, versione del testo, fonte, data/ora, eventuale revoca.
- Dati utilizzati per la profilazione commerciale, solo previo consenso: storico acquisti, frequenza, importo medio, categorie acquistate e indicatori/segmenti derivati.
- Conversazioni con l'Assistente AI: testo della sessione e metadati tecnici pseudonimi. L'assistente non richiede dati relativi alla salute e contiene filtri client/server per non conservarli o trasmetterli qualora vengano rilevati.
4. Finalità, basi giuridiche e tempi di conservazione
| Finalità | Dati | Base giuridica | Conservazione |
|---|---|---|---|
| Navigazione, sicurezza e funzionalità tecniche | Dati tecnici e di sessione | Art. 6(1)(f) GDPR; per storage tecnico necessario art. 122 Codice Privacy | Per il tempo strettamente necessario; secondo durata tecnica indicata nella Cookie Policy |
| Gestione richieste di contatto | Nome, e-mail, telefono, messaggio | Art. 6(1)(b) GDPR - misure precontrattuali richieste dall’interessato; art. 6(1)(f) per gestione e difesa delle richieste | Di regola fino a 12 mesi dalla chiusura della richiesta, salvo necessità ulteriori o contenzioso |
| Richieste percorso Mindfulness | Nome, e-mail, telefono, preferenza individuale/coppia, breve nota | Art. 6(1)(b) GDPR | Di regola fino a 12 mesi dalla chiusura della richiesta. Non inserire dati sanitari o psicologici nel modulo |
| Ordini, checkout, pagamenti e voucher | Dati anagrafici, contatto, ordine, destinatario regalo, dati di pagamento gestiti da Stripe | Art. 6(1)(b) GDPR; art. 6(1)(c) per obblighi fiscali/contabili | Dati contrattuali e amministrativo-contabili secondo gli obblighi di legge, normalmente fino a 10 anni; altri dati per il tempo necessario alla gestione del rapporto |
| Spedizione prodotti beauty | Nome destinatario, indirizzo, numero civico, CAP, città, provincia, Paese, articoli da spedire | Art. 6(1)(b) GDPR - esecuzione del contratto; art. 6(1)(c) ove necessario per obblighi di legge | Per il tempo necessario all’evasione, consegna, assistenza e gestione di resi/reclami; se incorporati nella documentazione contrattuale/amministrativa, secondo i termini di conservazione applicabili agli ordini |
| Promemoria carrello abbandonato | E-mail, contenuto del carrello, stato consenso | Art. 6(1)(a) GDPR - consenso specifico | Carrello: max 30 giorni; fino a 3 promemoria circa a 1h/24h/72h; prova del consenso conservata separatamente per accountability |
| Profilazione commerciale e personalizzazione | Storico acquisti, AOV, frequenza, categorie, segmenti; eventuali insight AI interni minimizzati | Art. 6(1)(a) GDPR - consenso specifico e separato | Profilo attivo solo finché il consenso è valido; dati di acquisto considerati su finestra operativa di 12 mesi. Revoca: stop immediato alla profilazione |
| Assistente AI pubblico | Messaggi di chat, session_id pseudonimo, budget/regalo se indicati | Art. 6(1)(f) GDPR per erogazione, sicurezza e controllo qualità della funzione richiesta dall’utente; ove applicabile art. 6(1)(b) | Backend max 90 giorni; persistenza browser max 90 giorni solo con consenso funzionale, altrimenti sessione |
| Recensioni | Nome, eventuale e-mail, voto, testo, trattamento | Art. 6(1)(a) GDPR o richiesta volontaria dell’interessato, con moderazione preventiva; art. 6(1)(f) per gestione antiabuso | Recensioni pubblicate finché pertinenti o fino a richiesta di rimozione; non pubblicate per il tempo necessario alla moderazione e comunque soggette a revisione periodica |
| Gestione consensi e preferenze | Ricevute di consenso e revoca, identificativo anonimo o e-mail se necessario | Art. 6(1)(c) e 6(1)(f) GDPR - accountability e prova della liceità | Per il tempo necessario a dimostrare la liceità e gestire eventuali contestazioni; revisione periodica e cancellazione quando non più necessaria |
5. Spedizione dei prodotti beauty
Se il Cliente sceglie la spedizione in Italia di prodotti beauty acquistati autonomamente, EL SPA tratta l'indirizzo esclusivamente per preparare ed evadere l'ordine, organizzare il trasporto, gestire la consegna, l'assistenza, gli eventuali resi, reclami e gli obblighi amministrativi connessi.
L'indirizzo di spedizione non viene inserito nel carrello abbandonato prima del checkout, non viene utilizzato per profilazione commerciale, marketing, segmentazione o sistemi AI e non viene registrato nei log tecnici del checkout. I dati necessari alla consegna possono essere comunicati al vettore o al fornitore logistico incaricato, secondo il ruolo privacy concretamente applicabile.
6. Profilazione commerciale
Solo se l'utente presta uno specifico consenso, EL SPA può analizzare lo storico degli acquisti per ricavare indicatori quali numero di ordini, spesa media, frequenza, categorie preferite e segmenti commerciali (ad esempio cliente abituale, cliente a rischio di inattività, preferenza per determinate categorie). Tali informazioni possono essere utilizzate dal personale per predisporre proposte, coupon o suggerimenti maggiormente coerenti con gli interessi manifestati.
Alcune funzioni interne possono utilizzare un sistema di intelligenza artificiale per supportare il personale nella lettura del profilo. Il payload inviato al sistema AI è minimizzato e non contiene nome, e-mail, telefono o indirizzo di spedizione. L'AI non prende decisioni vincolanti, non determina l'accesso ai servizi, non modifica automaticamente i prezzi e non produce effetti giuridici o analogamente significativi: ogni eventuale iniziativa resta sotto controllo umano.
Il consenso alla profilazione è facoltativo, non condiziona l'acquisto e può essere revocato in ogni momento. La revoca impedisce nuove elaborazioni di profilazione, senza incidere sulla liceità del trattamento precedente né sulla conservazione dei dati d'ordine necessaria per finalità contrattuali o di legge.
7. Assistente AI EL SPA
Il sito include un Assistente AI che fornisce informazioni sui trattamenti e può suggerire soluzioni in base alle richieste estemporanee dell'utente, come occasione, tempo, preferenze e budget. L'assistente non accede allo storico acquisti, non è collegato all'account cliente e non effettua diagnosi o consulenza medica.
L'assistente è progettato per non richiedere dati relativi alla salute. Se il sistema rileva che l'utente sta inserendo informazioni sanitarie, il contenuto viene bloccato prima della trasmissione al provider AI e non viene conservato nel browser; una seconda barriera lato server impedisce che tali dati vengano inoltrati al modello o salvati nel database.
Le richieste AI sono instradate tramite Lovable AI Gateway verso un modello OpenAI. L'applicazione usa una configurazione stateless con parametro store:false. Tale impostazione evita la memorizzazione applicativa della risposta da parte dell'endpoint AI, ma non equivale, di per sé, alla garanzia di assenza assoluta di log tecnici o di sicurezza del provider, disciplinati dai relativi termini e accordi.
8. Destinatari e fornitori
- personale EL SPA autorizzato secondo ruolo e necessità operative;
- Lovable/Lovable Cloud e infrastruttura Supabase, per hosting, database, autenticazione e servizi applicativi;
- Lovable AI Gateway e, quale fornitore del modello sottostante, OpenAI, per le funzionalità AI;
- Stripe, per il pagamento elettronico e la prevenzione delle frodi;
- vettori, corrieri e fornitori logistici incaricati della consegna dei prodotti beauty, limitatamente ai dati necessari alla spedizione;
- fornitori di e-mail transazionali e infrastruttura tecnica utilizzati tramite la piattaforma;
- consulenti professionali, autorità e soggetti pubblici quando richiesto dalla legge o necessario per la tutela dei diritti.
9. Trasferimenti extra SEE
Il database applicativo del progetto è configurato nella regione UE AWS eu-west-1 (Irlanda). Alcuni fornitori, in particolare servizi di pagamento e fornitori di modelli AI o relativi sub-responsabili, possono tuttavia trattare dati anche fuori dallo Spazio Economico Europeo. In tali casi EL SPA richiede l'adozione dei meccanismi di trasferimento previsti dal GDPR, quali decisioni di adeguatezza/Data Privacy Framework ove applicabile, Clausole Contrattuali Standard e misure supplementari.
L'ubicazione europea del database non implica necessariamente che l'inferenza AI avvenga sempre nell'UE. EL SPA mantiene tale aspetto sotto revisione e limita i dati trasmessi ai sistemi AI secondo il principio di minimizzazione.
10. Dati di destinatari di voucher/regali
Quando un acquirente indica i dati di un'altra persona per inviarle un voucher o un regalo, EL SPA tratta tali dati esclusivamente per eseguire la consegna richiesta e gestire il voucher. L'acquirente è invitato a fornire solo dati corretti e necessari. Il destinatario riceve, al primo contatto, un rinvio alla presente informativa ai sensi dell'art. 14 GDPR.
11. Cookie e tecnologie del dispositivo
Il sito utilizza tecnologie tecniche necessarie e, previo consenso, tecnologie funzionali. Alla data della presente informativa non risultano attivi strumenti di analytics o marketing/advertising di terze parti. Per elenco, durata e modalità di gestione si rinvia alla Cookie Policy e al Centro Preferenze Privacy, accessibile dal footer.
12. Decisioni automatizzate
EL SPA non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sull'utente ai sensi dell'art. 22 GDPR. I sistemi AI e le regole di segmentazione forniscono supporto informativo o commerciale sotto supervisione umana.
13. Diritti degli interessati
L'interessato può esercitare, nei casi previsti, i diritti di accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso. Per il marketing diretto e la profilazione connessa è possibile opporsi o revocare il consenso in ogni momento. Le richieste possono essere inviate a mail@elspa.it. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali.
14. Sicurezza
Sono applicati controlli di accesso per ruoli, Row Level Security nel database, segregazione delle funzioni amministrative, minimizzazione dei log, conservazione limitata delle conversazioni AI e dei carrelli, registrazione delle prove di consenso, cancellazione automatica programmata per specifiche categorie di dati e controlli tecnici prima dell'invio di dati ai sistemi AI.
15. Minori
I servizi e-commerce e le funzioni di personalizzazione non sono intenzionalmente rivolti a minori di età. Qualora EL SPA venga a conoscenza di dati raccolti in modo non appropriato, adotterà le misure necessarie per la loro cancellazione o regolarizzazione.
16. Modifiche
La presente informativa può essere aggiornata per modifiche normative, organizzative o tecniche. La versione corrente e la data di efficacia sono pubblicate sul sito. Modifiche sostanziali ai trattamenti basati sul consenso possono richiedere una nuova manifestazione di consenso.
17. Contatti
Per domande o richieste privacy: mail@elspa.it. Titolare: DREAMLAND SOCIETA' A RESPONSABILITA' LIMITATA, Via Plinio 15/C, 00193 Roma (RM), Italia, P. IVA/C.F. 13233911000.
Riferimenti normativi e documentali
Regolamento (UE) 2016/679 - GDPR.
d.lgs. 196/2003 - Codice Privacy, come modificato.
Garante per la protezione dei dati personali - Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021.
Garante per la protezione dei dati personali - elenco dei trattamenti soggetti a DPIA, 11 ottobre 2018.
Regolamento (UE) 2024/1689 - AI Act.