Informativa privacy

Chi risponde dei tuoi dati

Il titolare del trattamento — la persona che decide che cosa succede ai tuoi dati e che ne risponde — è:

Quell’indirizzo e quella casella di posta non sono un call center. Sono una persona sola. Scrivici in inglese o in italiano, come preferisci.

Un’attività così piccola non è tenuta a nominare un responsabile della protezione dei dati, e non ne ha nominato uno. Per qualsiasi cosa riguardi i tuoi dati, scrivi all’indirizzo qui sopra.

Che cosa raccogliamo, e da dove arriva

Quando fai un ordine, questo è l’elenco completo di quello che finisce nella nostra scheda dell’ordine. Non è un riassunto — è l’insieme reale dei campi del nostro database:

• Chi sei e dove va il tappetino: il tuo indirizzo email, il tuo nome, il tuo numero di telefono e il tuo indirizzo di spedizione (via, seconda riga dell’indirizzo, città, provincia o stato, CAP, paese).
• Che cosa hai comprato: il disegno della mappa, la misura, il codice prodotto, quanti pezzi, il totale che hai pagato (conservato in centesimi) e la valuta.
• Come si muove l’ordine: la data in cui è stato fatto, il suo stato (pagato, disegno inviato, ordinato, spedito, rimborsato), il numero di riferimento che Stripe ha dato alla sessione di pagamento, il numero d’ordine che gli ha dato il nostro fornitore e il numero di tracking, una volta che il pacco ne ha uno.
• Note: un campo di testo libero dove ogni tanto scriviamo a mano una riga — per esempio «il cliente ci ha chiesto di lasciare il pacco al vicino» oppure «sostituzione spedita, il primo è arrivato con le pieghe». Qualunque cosa ci sia scritta, hai il diritto di chiederne una copia.
• Il numero di riferimento dell’ordine stesso. Ogni riga riceve un identificativo interno quando viene creata. Lo nominiamo perché non è l’innocua tubatura interna che sembra: la sua ultima parte diventa il numero d’ordine MW-XXXXXXXX che mettiamo nel file che consegniamo al fornitore. È il nome con cui il tuo ordine compare nei registri del laboratorio, quindi il suo posto è in questa lista.
• Un campo di servizio: la data in cui abbiamo cancellato i tuoi dati personali dalla scheda. Finché è vuoto, i tuoi dati sono ancora lì.

Da dove arriva: lo scrivi tu, ma non sul nostro sito. Lo scrivi sulla pagina di pagamento di Stripe, e Stripe lo passa a noi quando il pagamento va a buon fine. Il numero di telefono te lo chiediamo perché la maggior parte dei corrieri non consegna un pacco che arriva dall’estero senza.

Se ci scrivi per un problema con il tappetino, quello finisce in una seconda scheda, separata. È un registro dei reclami. Se ci dici che il tappetino non è sicuro, quel reclamo non lo teniamo perché ci fa comodo: lo teniamo perché l’art. 9, par. 12, del Regolamento (UE) 2023/988 obbliga il fabbricante a indagare sui reclami di chi segnala il prodotto come pericoloso e a tenerne un registro interno, insieme ai richiami e alle misure correttive adottate. Di questo prodotto il fabbricante siamo noi. Un reclamo ordinario sulla qualità — una stampa storta, un pacco ammaccato — finisce nella stessa scheda perché è la stessa conversazione, ma quella parte è una nostra scelta, non un obbligo di quel Regolamento. In una riga finiscono: quando ci è arrivato, se per email, dalla chat AliExpress o da Instagram, se riguarda la sicurezza o la qualità, il tuo nome e la tua email se ce li hai dati, il riferimento del tuo ordine, cosa ci hai detto, cosa abbiamo trovato indagando, cosa abbiamo fatto e se abbiamo dovuto avvisare le autorità.

La tua immagine nell’anteprima personalizzata resta sul dispositivo. L’editor apre l’immagine scelta localmente nel browser. Non viene caricata sui nostri server né inviata a una tipografia. Anche la composizione e l’eventuale griglia vengono elaborate localmente. Scaricare l’anteprima salva un PNG sul tuo dispositivo e non crea un ordine. L’editor non conserva l’originale né le modifiche sui nostri server.

E se ti iscrivi alla lista d’attesa dei tappetini personalizzati, quella è una terza scheda, con dentro un campo solo. Il tuo indirizzo email, la lingua in cui stavi leggendo, la data e la frase esatta che hai accettato — conserviamo il testo, non una spunta, così se un domani questa pagina cambia si vede ancora a che cosa avevi detto di sì. Niente nome, nessun ordine, nessun collegamento con altro che ti riguardi. Serve a rispondere a una domanda sola: i tappetini personalizzati li vuole abbastanza gente da giustificare il lavoro di farli. Riceverai una email in tutto, il giorno in cui aprono, con dentro il link per cancellarti; sulla riga c’è un campo che serve soltanto a rendere impossibile mandartene una seconda. Chiedicelo quando vuoi e la riga sparisce in giornata: non c’ è nient’altro attaccato.

E se sei arrivato da una nostra pubblicità, sulla scheda dell’ordine resta il nome dell’annuncio. Ecco esattamente come, perché il come è il punto. I nostri annunci non puntano a mapwyrm.com: puntano a un indirizzo loro, tipo mapwyrm.com/c/dnd. La pagina che vedi è il negozio, identico. Il nostro server sa già quale indirizzo ha servito, quindi passa quella parola insieme al tuo ordine e noi la conserviamo accanto. Il meccanismo è tutto qui.

Per farlo non mettiamo niente sul tuo dispositivo e non leggiamo niente da lì — nessun cookie, nessun pixel, nessun tag, niente che resti nel tuo browser, e non guardiamo mai da dove venivi prima. L’etichetta dice quale annuncio, non chi sei: chiunque abbia cliccato quell’annuncio porta la stessa parola. La teniamo per un motivo solo, sapere se i soldi spesi in pubblicità hanno prodotto vendite, e la base giuridica è il nostro legittimo interesse a saperlo.

Una conseguenza che vale la pena dire, perché gioca contro di noi. Siccome non teniamo niente sul tuo dispositivo, l’etichetta dura quanto la tua visita. Se vedi un annuncio oggi, te ne vai, e torni la settimana prossima digitando il nostro indirizzo, il tuo ordine risulta senza nessun annuncio attaccato. Quindi questo metodo conta la nostra pubblicità per difetto, e non può mai contarla per eccesso.

A parte tutto questo, il nostro fornitore di hosting tratta necessariamente le informazioni tecniche che ogni sito riceve quando apri una pagina: il tuo indirizzo IP, il tipo di browser e di dispositivo che stai usando e quale pagina hai chiesto. È così che una pagina web ti arriva, ed è anche così che un host blocca gli attacchi. Non ne ricaviamo nessun profilo di te e non le colleghiamo al tuo ordine.

Cosa ne facciamo, e cosa ci autorizza a farlo

Per mandarti il tappeto che hai pagato. Ci sta dentro prendere l’ordine, farlo stampare, farlo spedire, mandarti per email la conferma d’ordine e il numero di tracking, e risponderti quando ci scrivi a riguardo. Base giuridica: esecuzione di un contratto di cui sei parte (art. 6, par. 1, lett. b), del GDPR). Senza questi dati non c’è nessun pacco e nessun indirizzo a cui mandarlo.

Per gestire un ripensamento, un reso o un difetto. Se eserciti il tuo diritto di recesso di 14 giorni, o se il tappeto arriva danneggiato o diverso da come è descritto e fai valere la tua garanzia legale di conformità di due anni, ci serve la scheda del tuo ordine per identificare l’acquisto e rimborsarlo o sostituirlo. Base giuridica: esecuzione di un contratto, e adempimento degli obblighi legali a cui siamo soggetti in base al diritto dei consumatori europeo e italiano (art. 6, par. 1, lett. b) e c)).

Per tenere la contabilità. La legge italiana obbliga un’impresa a conservare le scritture contabili per dieci anni (art. 2220 del Codice civile). A quelle scritture servono la data, l’importo, cosa è stato venduto e il riferimento del pagamento. Non serve il tuo nome né il tuo indirizzo di casa — ed è esattamente per questo che, dopo 913 giorni, togliamo le parti personali e teniamo solo quelle commerciali. Base giuridica: obbligo legale (art. 6, par. 1, lett. c)).

Per indagare su un reclamo sul prodotto. Se ci dici che il tappetino non è sicuro — un odore che ti fa venire mal di testa, un materiale che ti irrita la pelle — siamo tenuti a verificare, a scrivere cosa abbiamo trovato e cosa abbiamo fatto, e nei casi seri a segnalarlo alle autorità di vigilanza del mercato tramite il Safety Business Gateway europeo. Base giuridica: obbligo legale (art. 6, par. 1, lett. c, GDPR), e l’obbligo è l’art. 9 del Regolamento (UE) 2023/988. È una delle poche cose di questa pagina che dovremmo continuare a fare anche se ci chiedessi di smettere. Per un reclamo che riguarda la qualità e non la sicurezza quell’obbligo non c’è, e la base è quella ordinaria: l’esecuzione del contratto con te (art. 6, par. 1, lett. b).

Per tenere in piedi il sito. Servirti la pagina, tenere il negozio online e difenderlo dagli abusi. Base giuridica: il nostro legittimo interesse a mandare avanti un negozio che funziona ed è sicuro (art. 6, par. 1, lett. f)) — un interesse che ci sembra piuttosto difficile da contestare, visto che è anche l’unico modo che hai di vedere il sito.

L’elenco è tutto qui. Non mandiamo email di marketing, non abbiamo una newsletter, non vendiamo, affittiamo o condividiamo i tuoi dati con nessuno perché li usi per conto suo, e non usiamo i tuoi dati per farti pubblicità da nessun’altra parte.

Non ci basiamo sul consenso per nessuna di queste cose. Vuol dire che non c’è nessun consenso che tu possa revocare — ma vuol dire anche che, finché il tuo ordine esiste, i trattamenti qui sopra per noi non sono facoltativi: quindi il diritto di opposizione e il diritto alla cancellazione, più sotto, sono quelli che contano per te.

I dati della tua carta: non li abbiamo mai

Quando clicchi per pagare, esci dal nostro sito e finisci su una pagina di pagamento gestita da Stripe. Il numero della carta, la scadenza e il codice di sicurezza li scrivi lì, nei sistemi di Stripe, e non toccano mai i nostri. A seconda di quello che scegli, quella pagina può offrirti anche altri metodi di pagamento come Klarna o Satispay, ognuno con il suo fornitore.

Quello che torna indietro a noi è: ha funzionato, ecco l’importo, ecco nome, email, telefono e indirizzo di spedizione di chi ha comprato. Tutto qui.

Stripe non si limita a passare dati per conto nostro — è un istituto di pagamento che tratta i dati del tuo pagamento anche per finalità proprie, regolamentari e antifrode, secondo la sua informativa privacy. La trovi su stripe.com/privacy. Stripe è un gruppo internazionale e tratta dati fuori dall’UE con le garanzie descritte in quella informativa.

Una conseguenza che vale la pena conoscere: se ci chiedi di cancellare i dati della tua carta, non possiamo, perché non ce li abbiamo. Dovresti chiederlo a Stripe.

Chi altro vede i tuoi dati

Questi sono tutti quelli che toccano i tuoi dati, e di preciso cosa ricevono. Non c’è nessun altro.

Due di loro non si limitano a eseguire le nostre istruzioni, e dire il contrario sarebbe la bugia comoda di questa pagina. Quasi tutte le società qui sotto sono responsabili del trattamento: fanno quello che diciamo noi e nient’altro. Stripe e Resend decidono anche per conto proprio, per finalità proprie, e dove lo fanno sono loro — non noi — a risponderne davanti a te. Diciamo quale è quale.

• Stripe Payments Europe, Limited (Irlanda) — incassa il pagamento e raccoglie nome, email, telefono e indirizzo sulla sua pagina di pagamento. È insieme responsabile del trattamento e titolare autonomo. Lavora per noi quando esegue il pagamento. Decide da sé quando controlla la transazione contro le frodi, quando adempie ai propri obblighi antiriciclaggio e di adeguata verifica della clientela, quando risponde alle autorità e quando analizza e migliora i propri prodotti. Per quelle finalità i tuoi diritti si esercitano verso Stripe, secondo l’informativa di Stripe su stripe.com/privacy, non verso di noi.
• Supabase Pte. Ltd. (Singapore) — fornisce il database in cui è conservata la scheda del tuo ordine. Il database in sé sta a Francoforte, in Germania (regione eu-central-1), ma la società con cui abbiamo il contratto è di Singapore, quindi i dati sono raggiungibili da fuori dall’Unione. Vedi la sezione sui trasferimenti: è per questo che «sta a Francoforte» non è tutta la storia.
• Vercel Inc. (Stati Uniti) — ospita il sito e serve le pagine al tuo browser. È responsabile del trattamento per i dati del tuo ordine, e titolare per i dati tecnici che il suo stesso servizio genera.
• Resend (Plus Five Five, Inc., Stati Uniti) — ti manda l’email di conferma dell’ordine. Per farlo tratta per forza il tuo indirizzo email e il contenuto di quell’email, che comprende i dettagli dell’ordine e il tuo indirizzo di spedizione. È anche titolare autonomo per i propri registri di invio, che per sua stessa definizione comprendono i dati che identificano mittente e destinatario di ogni messaggio. Quindi il tuo indirizzo email non è solo trattato per conto nostro: è anche un archivio di Resend. Nel suo elenco di sub-responsabili ci sono due fornitori di intelligenza artificiale; abbiamo chiesto a Resend se il contenuto o i metadati delle email dei clienti arrivino fin lì, e questa pagina dirà quello che ci rispondono.
• IONOS e Google — i server di posta del nostro dominio sono di IONOS, e hello@mapwyrm.com non è una casella: è un inoltro verso un normale account Gmail. Quindi tutto quello che ci scrivi — il tuo nome, il tuo indirizzo email e il contenuto del messaggio, compresa una richiesta di cancellare i tuoi dati — viene instradato da IONOS e poi sta da Google. Anche le nostre risposte partono da quell’account Gmail. Vedi la sezione sui trasferimenti.
• DSers — Nebulapart Limited, Hong Kong. È la prima società fuori dall’Unione a ricevere i tuoi dati, e per molto tempo l’abbiamo descritta come un pezzo generico di «piattaforma». Non lo è. Generiamo un file d’ordine dal nostro database e lo carichiamo su DSers; è solo dopo che DSers inoltra l’ordine. I suoi termini indicano un indirizzo a Hong Kong e la legge di Hong Kong, e il suo sito porta una licenza per operare nella Cina continentale. La sua informativa non nomina mai il GDPR e non pubblica nessun accordo sul trattamento dei dati; dichiara però un passaggio negli Stati Uniti.
• Alibaba.com Singapore E-Commerce Private Limited — la società che gestisce davvero AliExpress per un acquirente professionale europeo, ed è quella con cui abbiamo il contratto. Anche Singapore non ha una decisione di adeguatezza, quindi anche questo è un trasferimento fuori dall’Unione. È poi la piattaforma a consegnare l’ordine al laboratorio.
• Il fornitore in Cina — il laboratorio che stampa, cuce e spedisce il tuo tappeto. Riceve il tuo nome, il tuo numero di telefono e il tuo indirizzo di spedizione. Non riceve il tuo indirizzo email: quella colonna nel file che carichiamo la lasciamo vuota apposta, perché al laboratorio non serve.
• Il corriere e il suo partner locale per la consegna — ricevono quello che serve per portare il pacco alla tua porta e consegnartelo: nome, indirizzo, numero di telefono.
• Il nostro commercialista e, se mai si arrivasse a tanto, il nostro avvocato — tenuti al segreto professionale, e solo per le fatture e i documenti che gli servono.
• Le autorità, se la legge ci obbliga a consegnare qualcosa. Non facciamo finta del contrario.

Nessuno, in nessuna di queste aziende, sta comprando i tuoi dati o se li vede consegnare per farti pubblicità. Fanno tutti un lavoro preciso per cui li abbiamo ingaggiati.

Dove finiscono i tuoi dati fuori dall’UE

Questa è la parte che la maggior parte dei negozi seppellisce. Noi te la diciamo senza giri di parole, perché succedono due cose diverse ed entrambe meritano di essere dette.

Gli Stati Uniti, e un posto che non lo è. Vercel e Resend sono società statunitensi: Vercel gestisce una rete di distribuzione mondiale, Resend manda la nostra posta. Il nostro database sta fisicamente a Francoforte, ma la società con cui abbiamo il contratto è Supabase Pte. Ltd., di Singapore — non americana e non europea, e nemmeno Singapore ha una decisione di adeguatezza. Il personale può accedere ai sistemi che gestisce, per esempio quando gli chiediamo assistenza. Quindi, anche se i dati stanno in Europa, a controllare i sistemi in cui stanno sono società fuori dall’Unione, e questo conta come trasferimento. Dirti «i tuoi dati restano a Francoforte» e fermarci lì sarebbe fuorviante.

Lo strumento per farlo sono le clausole contrattuali tipo adottate dalla Commissione europea — le condizioni contrattuali standard pensate esattamente per questa situazione — che tutti e tre i fornitori offrono dentro le loro condizioni sul trattamento dei dati.

Stripe funziona diversamente, e l’ordine conta. Le sue condizioni sui trasferimenti mettono al primo posto il Data Privacy Framework fra Unione europea e Stati Uniti, e le clausole contrattuali tipo solo come riserva: Stripe, LLC è autocertificata in quel quadro. Quindi per Stripe la garanzia principale è il Framework, non le clausole.

E c’è una lacuna che non copriamo con le parole. Resend è certificata nel Framework per l’Unione europea e per il Regno Unito, ma non per la Svizzera. In Svizzera noi spediamo. Per un cliente svizzero quel quadro non è quindi utilizzabile per l’email di conferma, e la garanzia sono le clausole contrattuali tipo allegate alle condizioni di Resend — che la coprono, ma sono uno strumento diverso, e hai il diritto di sapere quale dei due sta reggendo i tuoi dati.

E c’è Google, che sta in una posizione diversa. L’indirizzo che ti diamo per tutto — domande, recesso, garanzia legale, diritti sui tuoi dati, reclami — è un inoltro verso un normale account Gmail. Quindi il tuo messaggio, e la nostra risposta, stanno da Google negli Stati Uniti con le condizioni che Google applica a qualsiasi account personale, non con le clausole qui sopra. Se preferisci non passare di lì, scrivici su carta all’indirizzo postale in cima a questa pagina: quello ci arriva senza passare da Google.

La Cina. Qui è più semplice e più diretto: per consegnarti un pacco, il tuo nome, il tuo numero di telefono e il tuo indirizzo devono arrivare a chi lo imballa e lo spedisce, e quelle persone sono in Cina. Non esiste una decisione di adeguatezza della Commissione europea che riguardi la Cina, e la legge cinese non offre le stesse tutele del diritto dell’UE.

Puoi chiederci maggiori dettagli su ognuno di questi trasferimenti, compresa una copia delle garanzie pertinenti, scrivendo a hello@mapwyrm.com.

Per quanto tempo li teniamo — e cosa vuol dire qui «cancellato»

913 giorni dall’ordine. Vuol dire circa 2,5 anni. Quel giorno il tuo nome, il tuo indirizzo email, il tuo numero di telefono, il tuo indirizzo di spedizione completo, il numero di tracking del pacco, il numero d’ordine del fornitore e qualsiasi nota che abbiamo scritto su di te vengono cancellati dalla scheda dell’ordine. Non nascosti, non archiviati — i campi vengono svuotati.

Perché 913 e non un numero più tondo: la tua garanzia legale di conformità dura due anni dalla consegna, e per tutto il tempo in cui dura dobbiamo poter risalire a chi ha comprato cosa. I mesi in più sono il margine per una contestazione sollevata proprio alla fine di quel periodo.

Non è una promessa inventata per questa pagina. È una funzione dentro il nostro sistema con scritti dentro i 913 giorni, e parte da sola, una volta al giorno, senza che nessuno debba ricordarselo. Ne esiste anche una versione per singolo ordine, così possiamo dare seguito a una richiesta di cancellazione individuale senza aspettare l’orologio.

Il tuo diritto alla cancellazione non è illimitato, e non faremo finta che lo sia: finché corre l’obbligo legale di conservazione possiamo togliere i campi personali, ma non possiamo cancellare la traccia contabile della vendita. L’art. 17, par. 3, lett. b), del GDPR dice proprio questo. Quello che possiamo fare — e faremo su richiesta — è togliere tutto quello che punta a te.

Il registro dei reclami ha un suo orologio, più corto: 1825 giorni. Sono cinque anni, e non è un numero nostro: è il tetto fissato dall’art. 9, par. 13, del Regolamento (UE) 2023/988, secondo cui in un registro dei reclami si conservano solo i dati personali necessari a indagare, per il tempo necessario all’indagine e comunque non oltre cinque anni. A quella data il tuo nome e la tua email vengono cancellati dal reclamo. Quello che hai segnalato, quello che abbiamo trovato e quello che abbiamo fatto restano, perché è quello il registro che la legge ci chiede di tenere — e resta anche il riferimento del tuo ordine, quando c’è, perché è quello che lega il reclamo alla vendita. È lo stesso identificativo pseudonimizzato di cui sopra, non il tuo nome. E se l’indagine finisce prima, i tuoi dati li cancelliamo prima: è lo stesso articolo, prima metà della stessa frase.

L’email di conferma dell’ordine sta nella tua casella di posta e nei log di invio di Resend per il tempo in cui Resend li conserva; e la registrazione del tuo pagamento sta da Stripe, con le regole di conservazione di Stripe. Queste cose sono fuori dal nostro controllo.

Cookie, tracking e font

Il nostro sito non installa cookie di profilazione, né cookie pubblicitari, né cookie analitici. Non c’è nessun banner dei cookie perché qui non c’è niente a cui tu debba dare il consenso.

Misuriamo, ed ecco esattamente cosa vuol dire. Dal 3 settembre 2026 questo sito usa Vercel Web Analytics. Conta le pagine viste e una manciata di clic — quale mappa hai guardato, quale misura hai scelto, se hai avviato un pagamento — così possiamo sapere se quello che facciamo funziona davvero. Non installa nessun cookie, non lascia nessun identificativo sul tuo dispositivo e non costruisce nessun profilo di te né ti segue su altri siti. Quello che vediamo è un totale, non una persona.

Vercel elabora il tuo indirizzo IP per ricavare un paese approssimativo; non conserva l’indirizzo IP nei dati analitici. Vercel ospita anche questo sito. Non usiamo Google Analytics.

Non esiste un account cliente. I font sono ospitati sul nostro dominio e non richiedono chiamate a Google quando visiti una pagina.

Le interazioni del negozio vengono annunciate nel browser e inviate a Vercel come eventi analitici, senza nome, email o identificativo dell’ordine. Le anteprime del sito e le pagine operative sono escluse.

Puoi escludere questo browser dalle statistiche. Salviamo nella memoria locale solo la preferenza di esclusione, senza un identificativo personale. Resta fino alla cancellazione dei dati del sito nel browser o alla riattivazione delle statistiche. Vale per questo browser e dispositivo; se la memoria del browser è bloccata, dura solo per la pagina corrente.

La pagina di pagamento di Stripe è un altro sito, con i suoi cookie, la maggior parte dei quali strettamente necessari a elaborare il pagamento e a individuare le frodi. Quella pagina è regolata dall’informativa privacy di Stripe, non da questa.

Come li teniamo al sicuro

Il database degli ordini ha la row-level security attiva e nessuna policy di accesso pubblico: può leggerlo solo il nostro server, che tiene una chiave segreta che non arriva mai nel browser di nessuno.

La pagina interna dove lavoriamo gli ordini — quella che mostra nomi, numeri di telefono e indirizzi di casa — sta dietro a un nome utente e una password, controllati sia all’ingresso sia di nuovo dentro ogni azione che quella pagina può compiere. Se quelle credenziali non sono configurate, la pagina non fa entrare nessuno invece di lasciare entrare chiunque.

Gli eventi di pagamento che arrivano da Stripe vengono verificati crittograficamente prima che registriamo qualsiasi cosa, così nessuno può inventarsi un ordine nel nostro sistema.

L’unico pezzo della catena che non è un servizio gestito è il foglio di calcolo descritto in «Chi altro vede i tuoi dati». Preferiamo indicartelo due volte piuttosto che descrivere la nostra sicurezza lasciandolo fuori.

Non ti racconteremo che qui c’è qualcosa «di livello militare». Siamo un negozio piccolo che usa servizi gestiti bene e che tiene segreti i segreti. Se qualcosa va storto e i tuoi dati finiscono esposti in un modo che ti mette a rischio, te lo diciamo, e lo diciamo all’autorità di controllo italiana entro 72 ore, come impongono gli artt. 33 e 34 del GDPR.

I tuoi diritti

In base al GDPR hai tutti i diritti che seguono, ed esercitarli non ti costa niente.

• Accesso (art. 15) — chiederci una copia di tutto quello che abbiamo su di te. Comprese le note in testo libero.
• Rettifica (art. 16) — far correggere quello che è sbagliato. Se vedi un errore di battitura nel tuo indirizzo, dircelo in fretta: finché l’ordine non va in stampa possiamo ancora correggerlo alla fonte.
• Cancellazione (art. 17) — chiederci di cancellare i tuoi dati personali. Svuotiamo ogni campo che ti identifica. Come spiegato sopra, il solo dato contabile della vendita deve restare finché non scade il periodo di conservazione previsto dalla legge.
• Limitazione del trattamento (art. 18) — chiederci di congelare il trattamento mentre si risolve una contestazione sull’esattezza o sulla liceità dei dati.
• Portabilità dei dati (art. 20) — chiedere i dati che ci hai dato in un formato strutturato e leggibile da dispositivo automatico, oppure chiederci di mandarli a qualcun altro.
• Opposizione (art. 21) — opporti al trattamento che fondiamo sul nostro legittimo interesse.
• Non essere sottoposto a decisioni automatizzate (art. 22) — vedi la sezione successiva: non ne prendiamo nessuna.

Come esercitarli: scrivi a hello@mapwyrm.com. Dicci quale diritto stai esercitando, oppure dicci semplicemente cosa vuoi con parole tue — non serve che ci citi i numeri degli articoli. Rispondiamo entro un mese, e se una richiesta è davvero complicata possiamo prenderci fino a due mesi in più, e in quel caso ti diciamo perché entro il primo mese.

Potremmo aver bisogno di verificare che tu sia davvero tu prima di consegnare dati personali — di solito basta che tu scriva dall’indirizzo email dell’ordine. Non ti chiederemo documenti che non ci servono.

Niente decisioni automatizzate, niente profilazione

Su questo sito niente prende una decisione automatizzata che produca effetti giuridici nei tuoi confronti o che incida in modo analogo significativamente sulla tua persona, e non ti profiliamo. Ogni ordine lo legge una persona in carne e ossa, che ti scrive a mano e digita le note.

Sei obbligato a darci questi dati?

Puoi leggere tutto il sito, guardare tutte le mappe e non dirci mai niente.

Se vuoi ordinare, allora sì: nome, indirizzo e numero di telefono sono obbligatori, perché senza non c’è modo di consegnare un oggetto fisico, e l’email è obbligatoria perché la legge ci impone di mandarti la conferma del contratto su un supporto durevole (art. 51, comma 7, del Codice del consumo). Se non ce li dai, non possiamo concludere la vendita. È un obbligo contrattuale, non di legge — ma non è un obbligo a cui possiamo rinunciare.

Se pensi che abbiamo sbagliato

Diccelo prima a noi, scrivendo a hello@mapwyrm.com. Preferiamo risolvere un problema piuttosto che discuterne.

Ma non sei obbligato a passare prima da noi, e non perdi mai il diritto di proporre reclamo a un’autorità di controllo:

Se vivi in un altro paese dell’UE o dello SEE, puoi rivolgere il reclamo all’autorità di controllo del tuo paese. E hai sempre anche il diritto di rivolgerti al giudice (artt. 77, 78 e 79 del GDPR).

Modifiche a questa informativa

Se cambiamo il modo in cui trattiamo i tuoi dati — un nuovo fornitore, una nuova finalità, qualunque cosa renda falsa una frase qui sopra — aggiorniamo questa pagina e cambiamo la data in alto prima che la modifica abbia effetto, non dopo.

Questa versione porta la data 12 settembre 2026. Descrive il sito com’è davvero a quella data, verificato riga per riga contro il codice che lo fa funzionare, non contro quello che ci piacerebbe fosse vero.