Informativa Privacy

Resa ai sensi degli artt. 13-14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 30 giugno 2003 n. 196 come modificato dal D.Lgs. 10 agosto 2018 n. 101.

La presente Informativa descrive le modalità con cui Intermediabox S.r.l. ("Yellohu", "Titolare") tratta i dati personali degli Utenti del sito www.yellohu.com e dei servizi connessi (di seguito, la "Piattaforma"), in qualità di Titolare del trattamento. La presente Informativa è resa unicamente per la Piattaforma Yellohu e non per altri siti web eventualmente consultati dall'Utente tramite link.

Art. 1 — Titolare del trattamento

Il Titolare del trattamento è Intermediabox S.r.l., con sede legale in Via Nino Bixio 13, 44042 Cento (FE), Italia — P.IVA e Codice Fiscale 02891060341 — iscritta al Registro delle Imprese di Ferrara.

Contatti del Titolare:

• Email generica: info@yellohu.com
• Email privacy / esercizio diritti: privacy@yellohu.com
• Indirizzo postale: Via Nino Bixio 13, 44042 Cento (FE), Italia

Yellohu non ha attualmente nominato un Responsabile della Protezione dei Dati (DPO) ai sensi dell'art. 37 GDPR, non ricorrendo le ipotesi di nomina obbligatoria. Tutte le comunicazioni in materia di protezione dati possono essere indirizzate all'email privacy@yellohu.com.

Art. 2 — Categorie di dati trattati

Yellohu tratta le seguenti categorie di dati personali, raccolti direttamente dall'Utente o generati automaticamente nell'ambito dell'utilizzo della Piattaforma:

• Dati anagrafici e di contatto: nome, cognome, ragione sociale (per Clienti Professionisti), codice fiscale, partita IVA, indirizzo email, numero di telefono, codice destinatario / PEC per fatturazione elettronica.
• Dati di accesso e autenticazione: credenziali di registrazione, hash password, log di accesso, indirizzo IP, identificativi di sessione.
• Dati fiscali e di fatturazione: dati necessari all'emissione di fatture elettroniche tramite il Sistema di Interscambio (SDI).
• Dati di pagamento: token di carta di credito, identificativi del fornitore di pagamento, metadata di pagamenti (Yellohu non memorizza i numeri di carta in chiaro, custoditi esclusivamente dal fornitore di pagamento certificato PCI-DSS).
• Dati di indirizzo e logistica: indirizzi del Mittente e del Destinatario delle spedizioni, recapiti telefonici di consegna, riferimenti aggiuntivi di consegna.
• Descrizione della merce e immagini: descrizione testuale della merce dichiarata in checkout ed eventuali immagini caricate dall'Utente, ai fini dell'analisi automatizzata di compatibilità con la Lista Merci Vietate (art. 8).
• Dati di navigazione e cookies: pagine visitate, durata sessione, referrer, user agent, identificativi di dispositivo, secondo quanto descritto nella Cookie Policy.
• Log di sicurezza e audit: registri di accesso, eventi di autenticazione e di amministrazione, conservati ai fini di sicurezza, tracciabilità e adempimento di obblighi normativi.
• Comunicazioni con il customer care: contenuto di ticket di supporto, conversazioni in chat, allegati relativi a pratiche assistenza.

Art. 2-bis — Dati del Destinatario forniti dal Mittente

Per l'esecuzione della spedizione il Mittente fornisce a Yellohu i dati personali del Destinatario (nome, indirizzo, recapiti telefonici). Tali dati sono trattati ai sensi dell'art. 14 del Regolamento (UE) 2016/679 per la sola finalità di esecuzione del trasporto e per la durata strettamente necessaria. Il Mittente garantisce di avere titolo a comunicare tali dati e di aver informato il Destinatario ai sensi dell'art. 14 GDPR. Il Destinatario può esercitare i diritti di cui all'Art. 9 scrivendo a privacy@yellohu.com.

Art. 3 — Finalità del trattamento e base giuridica

I dati personali sono trattati per le finalità di seguito indicate, ciascuna sostenuta da una specifica base giuridica ai sensi dell'art. 6 GDPR.

Finalità	Base giuridica	Consenso revocabile?
Esecuzione del contratto di servizio (registrazione, gestione ordini, calcolo tariffe, fatturazione)	art. 6.1.b GDPR	NO (necessario per contratto)
Adempimento obblighi normativi (fatturazione elettronica, antiriciclaggio, conservazione documentale)	art. 6.1.c GDPR	NO (obbligatorio)
Customer care e gestione reclami	art. 6.1.b/f GDPR	NO
Prevenzione frodi e analisi automatizzata della merce dichiarata (AI cargo)	art. 6.1.f GDPR (legittimo interesse)	SÌ — diritto opposizione (art. 21 GDPR)
Marketing diretto e newsletter	art. 6.1.a GDPR (consenso)	SÌ — sempre revocabile
Profilazione AI per suggerimento servizi opzionali (es. Assicurazione Premium)	art. 6.1.a GDPR (consenso)	SÌ — sempre revocabile
Cookie tecnici / di sessione	art. 122 D.Lgs. 196/2003 (necessità tecnica)	NO
Cookie analytics / di marketing	art. 122 D.Lgs. 196/2003 (consenso)	SÌ — banner Cookiebot

Il conferimento dei dati per le finalità contrattuali e di legge è obbligatorio: il rifiuto comporta l'impossibilità di concludere il contratto e fruire dei servizi. Il conferimento dei dati per le finalità di marketing e di profilazione è facoltativo: il rifiuto non pregiudica in alcun modo l'erogazione dei servizi richiesti.

Art. 4 — Modalità del trattamento

Il trattamento dei dati avviene mediante strumenti automatizzati e, ove necessario, su supporto cartaceo, secondo logiche strettamente correlate alle finalità indicate e in modo da garantire la sicurezza e la riservatezza dei dati.

Yellohu adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui:

• cifratura dei dati a riposo e in transito (TLS 1.2+ per tutte le connessioni);
• controllo degli accessi su base ruolo e principio del privilegio minimo;
• segregazione degli ambienti di sviluppo, staging e produzione;
• audit log delle operazioni amministrative;
• procedure di backup e disaster recovery;
• formazione periodica del personale autorizzato al trattamento.

I dati non sono soggetti a diffusione e non sono trasferiti a Paesi terzi al di fuori dei casi descritti all'art. 6.

Art. 5 — Responsabili esterni del trattamento

Yellohu si avvale di responsabili esterni del trattamento, nominati ai sensi dell'art. 28 del Regolamento (UE) 2016/679 con apposito accordo (DPA), per categorie di servizio funzionali all'erogazione della Piattaforma: infrastruttura e hosting, database e autenticazione, elaborazione dei pagamenti, fatturazione elettronica, invio di email di servizio, geocoding, customer support, analisi automatizzata, gestione del consenso ai cookie, fornitore di servizi assicurativi e vettori incaricati del trasporto.

L'elenco aggiornato e nominativo dei responsabili esterni, con i relativi Paesi e le garanzie applicate ai trasferimenti, è disponibile su richiesta scritta a privacy@yellohu.com. Yellohu comunica tempestivamente eventuali modifiche sostanziali che incidano sui trasferimenti extra-UE.

Art. 6 — Trasferimenti extra-UE

Alcuni responsabili esterni hanno sede al di fuori dello Spazio Economico Europeo. In tali casi, il trasferimento dei dati avviene esclusivamente sulla base di garanzie adeguate ai sensi del Capo V del GDPR, in particolare:

• Standard Contractual Clauses della Commissione Europea — Decisione 2021/914 del 4 giugno 2021 — per i trasferimenti verso Paesi privi di decisione di adeguatezza;
• Decisioni di adeguatezza della Commissione Europea, ove disponibili (es. EU-US Data Privacy Framework per i trasferimenti verso operatori statunitensi certificati);
• Misure supplementari (cifratura, pseudonimizzazione, controlli di accesso) ove richiesto dalla natura del trasferimento e dalla giurisdizione di destinazione, in linea con le Raccomandazioni 01/2020 dello European Data Protection Board.

L'Utente può richiedere copia delle garanzie applicate al trasferimento dei propri dati scrivendo a privacy@yellohu.com.

Art. 7 — Periodi di conservazione

I dati personali sono conservati per il tempo strettamente necessario alle finalità per cui sono stati raccolti e, comunque, nei termini imposti dalla normativa applicabile — in particolare gli obblighi civilistici e fiscali di conservazione documentale (cfr. art. 2220 c.c.) e i termini di prescrizione per la tutela dei diritti in giudizio. I dati trattati sulla base del consenso sono conservati fino alla revoca dello stesso. Decorsi i termini applicabili, i dati sono cancellati o resi anonimi in modo irreversibile, salvo ulteriore conservazione richiesta da obblighi di legge o per la difesa in giudizio. I criteri specifici di determinazione dei periodi di conservazione sono disponibili su richiesta a privacy@yellohu.com.

Art. 8 — Analisi automatizzata della merce dichiarata in checkout (AI Cargo)

Yellohu utilizza un sistema di analisi automatizzata, fornito tramite un fornitore terzo di intelligenza artificiale (in regime di zero data retention), per classificare la descrizione testuale ed eventuali immagini della merce dichiarata dall'Utente in fase di checkout. Le finalità sono: (i) verifica di compatibilità con la Lista Merci Vietate; (ii) prevenzione frodi e dichiarazioni inesatte di peso/dimensioni/contenuto; (iii) suggerimento di servizi assicurativi compatibili con la categoria merce.

Base giuridica: legittimo interesse del Titolare ex art. 6.1.f GDPR per le finalità (i) e (ii); consenso esplicito ex art. 6.1.a GDPR per la finalità (iii) — revocabile in ogni momento dal proprio profilo.

Dati elaborati: descrizione testuale della merce inserita dall'Utente, eventuali immagini caricate dall'Utente.

Retention: le analisi e le immagini sono cancellate automaticamente dopo 30 giorni mediante processo automatico (cron /api/cron/cargo-cleanup).

Diritto di opposizione: l'Utente può opporsi all'analisi automatizzata contattando privacy@yellohu.com; in tal caso l'acquisto può richiedere una revisione manuale da parte del personale Yellohu.

Decisione automatizzata significativa ex art. 22 GDPR: l'analisi NON costituisce decisione automatizzata che produce effetti giuridici o significativi sull'Utente — è uno strumento di assistenza in checkout, e il personale Yellohu interviene in caso di esito ambiguo (verifica foto, conferma manuale).

Il fornitore AI opera in regime di zero data retention: i prompt e le risposte non sono utilizzati per addestrare i modelli né conservati oltre il tempo strettamente necessario all'inferenza.

Art. 9 — Diritti dell'Interessato

Ai sensi degli artt. 15-22 GDPR, l'Interessato ha diritto di:

• Accesso (art. 15 GDPR) — ottenere conferma dell'esistenza di un trattamento di dati personali che lo riguardano e ricevere copia dei dati e delle informazioni sul trattamento;
• Rettifica (art. 16 GDPR) — chiedere la correzione di dati inesatti o l'integrazione di dati incompleti;
• Cancellazione / "diritto all'oblio" (art. 17 GDPR) — chiedere la cancellazione dei dati nei casi previsti;
• Limitazione del trattamento (art. 18 GDPR) — chiedere la sospensione del trattamento nei casi previsti;
• Portabilità dei dati (art. 20 GDPR) — ricevere i dati personali forniti in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli ad altro Titolare;
• Opposizione (art. 21 GDPR) — opporsi al trattamento basato sul legittimo interesse o per finalità di marketing diretto;
• Revoca del consenso (art. 7.3 GDPR) — revocare in ogni momento il consenso prestato, senza pregiudicare la liceità dei trattamenti effettuati prima della revoca;
• Non essere sottoposto a decisioni automatizzate (art. 22 GDPR) — non essere sottoposto a decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici o significativi sulla persona.

L'Interessato ha inoltre diritto di proporre reclamo all'Autorità di controllo competente — il Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) — qualora ritenga che il trattamento dei propri dati personali violi il GDPR.

Art. 10 — Modalità di esercizio dei diritti

L'Interessato può esercitare i propri diritti contattando il Titolare:

• via email all'indirizzo privacy@yellohu.com;
• tramite l'area clienti della Piattaforma (app.yellohu.com), nelle apposite sezioni di gestione del profilo e dei consensi;
• tramite il form di contatto disponibile sul sito www.yellohu.com.

Yellohu risponde alle richieste entro 30 giorni dal ricevimento, prorogabili a 90 giorni in casi di particolare complessità o di elevato numero di richieste (art. 12.3 GDPR), con tempestiva comunicazione all'Interessato delle ragioni della proroga.

L'esercizio dei diritti è gratuito, salvo che le richieste risultino manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo: in tali casi Yellohu potrà addebitare un contributo spese ragionevole o rifiutare di dar seguito alla richiesta (art. 12.5 GDPR).

Art. 11 — Comunicazione e modifica dell'informativa

Yellohu si riserva il diritto di modificare la presente Informativa per adeguarla a sopravvenute esigenze normative, organizzative o tecniche.

In caso di modifiche non sostanziali, l'Informativa aggiornata sarà pubblicata sulla Piattaforma con indicazione della data di ultimo aggiornamento.

In caso di modifiche sostanziali (es. introduzione di nuove finalità, nuovi sub-processor che incidono sui trasferimenti extra-UE, modifica della base giuridica), Yellohu darà comunicazione via email all'Utente con un preavviso di almeno 30 giorni rispetto all'entrata in vigore.

Per modifiche che incidono sulla base giuridica del trattamento (passaggio da legittimo interesse a consenso o viceversa), è richiesto un rinnovo esplicito del consenso dell'Utente, ove applicabile.