Politique de confidentialité Programme de fidélité L’Erbolario

POLITIQUE DE CONFIDENTIALITÉ POUR LES UTILISATEURS ADHÉRANT AU PROGRAMME DE FIDÉLITÉ L’ERBOLARIO

Fournie conformément à l’art. 13 du Règlement 2016/679 (« Règlement »)

V025Omni_2026/11. Publication 09/11/2026.

1. PRÉAMBULE – QUELLES ACTIVITÉS CETTE POLITIQUE CONCERNE-T-ELLE ?

La présente politique de confidentialité régit le traitement des données personnelles des utilisateurs en ce qui concerne :

A.
L’inscription et la participation au Programme de fidélité L’Erbolario (ci-après « Programme ») de L’Erbolario Società Benefit s.r.l. (« L’Erbolario ») qui peut être effectuée :

• dans les points de vente à l’enseigne « L’Erbolario » adhérents (« Points de vente »), en caisse ou au moyen du QR Code prévu à cet effet disponible dans le point de vente ; ou

• par le biais du site (« Site »), en remplissant le formulaire d’inscription prévu à cet effet. La création du compte personnel sur le Site n’entraîne pas automatiquement l’inscription au Programme de fidélité L’Erbolario, pour laquelle une adhésion distincte est nécessaire, selon les modalités décrites sur le Site et comme prévu par le règlement du Programme disponible sur le Site et dans les Points de vente (« Règlement »). De même, il est rappelé que l’adhésion au Programme de fidélité auprès d’un Point de vente n’entraîne pas automatiquement la création du compte personnel sur le Site, que l’utilisateur pourra activer séparément, en suivant la procédure d’authentification prévue par le Site et en utilisant la même adresse e-mail communiquée lors de l’adhésion au Programme.

B.
l’envoi de communications commerciales et l’analyse des préférences et habitudes d’achat des utilisateurs (dites finalités de marketing et de profilage) pour lesquelles l’utilisateur peut donner, de manière facultative, des consentements distincts à l’occasion de l’adhésion au Programme, dans les Points de vente ou sur le Site.

2. RESPONSABLE DU TRAITEMENT ET DONNÉES DU RESPONSABLE DE LA PROTECTION DES DONNÉES (« DPO »)

Le responsable du traitement est L’Erbolario Società Benefit s.r.l., dont le siège légal est situé Viale Milano 74, 26900 Lodi, numéro de TVA et code fiscal info@erbolariocare.shop (« L’Erbolario » ou « Responsable »).

Le Responsable a procédé à la nomination du responsable de la protection des données (« DPO ») au sens de l’art. 37 du Règlement, joignable à l’adresse suivante : info@erbolariocare.shop.

3. FINALITÉS DU TRAITEMENT, DONNÉES PERSONNELLES TRAITÉES, DURÉE DE CONSERVATION DES DONNÉES

3.1 PARTICIPATION AU PROGRAMME DE FIDÉLITÉ L’ERBOLARIO

Finalité : L’Erbolario traitera les données personnelles de l’utilisateur pour lui permettre de participer au Programme de fidélité L’Erbolario, dans les Points de vente et/ou sur le Site, et gérer les activités connexes telles que, notamment :

• la génération d’une carte contenant un code unique et un code-barres (« Carte de fidélité »), émise au moment de l’adhésion au Programme. L’utilisateur qui adhère au Programme de fidélité et qui a également créé un compte personnel sur le Site pourra consulter sa Carte de fidélité à l’intérieur du compte ;

• l’attribution des points de fidélité et des bons de réduction, comme prévu par le Programme, en cas d’achats effectués dans les Points de vente et, après création du compte personnel sur le Site, également pour les commandes effectuées sur le Site ;

• l’attribution de cadeaux et de réductions et l’utilisation de services dédiés (ex. Clicca & Prenota), réservés aux utilisateurs adhérant au Programme ;

• la participation à « L’Erbolario Club », dont L’Erbolario est promoteur, et aux manifestations à primes connexes au sens du D.P.R. 430/2001,

selon les conditions et les modalités prévues par le Règlement du Programme de fidélité L’Erbolario.

Les données personnelles seront en outre traitées pour :

• fournir une assistance à l’utilisateur concernant le Programme de fidélité L’Erbolario, le cas échéant, par le biais du Service Client ;

• envoyer des communications institutionnelles concernant le Programme (ex. expiration des points et/ou modifications du Règlement du Programme ; attribution des cadeaux ou des réductions prévus par le Programme) ;

• permettre à l’utilisateur qui a adhéré au Programme de fidélité auprès d’un Point de vente et qui a ensuite activé un compte personnel sur le Site de consulter et de gérer, également au moyen de ce compte, les informations relatives à sa participation au Programme, y compris la Carte de fidélité et les préférences précédemment exprimées concernant le traitement des données personnelles (pour lesquelles il est renvoyé aux paragraphes 3.2 et 3.3 qui suivent).

Catégories de données traitées :

• données fournies lors de l’adhésion au Programme (ex. nom, prénom, adresse e-mail, date de naissance et, s’ils sont fournis, numéro de téléphone et genre d’appartenance) ;

• date et canal d’inscription au Programme (Point de vente ou Site) ;

• code identifiant de la Carte de fidélité ;

• données relatives à la participation aux initiatives promotionnelles prévues par le Programme (ex : produits donnant droit à des points, points accumulés, bons obtenus et/ou utilisés, primes demandées, données de livraison des primes ; utilisation des cadeaux et/ou des réductions attribués et canal utilisé).

Base juridique : la base juridique qui légitime ce traitement est :

• l’exécution du contrat ou, selon les cas, l’exécution de mesures précontractuelles prises à la demande de la personne concernée (art. 6.1.b) du Règlement) ;

• l’exécution d’obligations légales (ex. DPR 430/2001 sur les manifestations à primes), au sens de l’art. 6.1 c) du Règlement (en cas de participation à L’Erbolario Club et/ou aux autres manifestations à primes éventuellement prévues par le Programme de fidélité L’Erbolario).

Nature de la communication des données : la communication des données est facultative, c’est-à-dire qu’il n’existe aucune obligation légale ou contractuelle pour l’utilisateur de fournir les données personnelles. Toutefois, le traitement de ces données étant nécessaire pour permettre à l’utilisateur de participer au Programme de fidélité L’Erbolario et pour la gestion du Programme lui-même, la non-communication des données personnelles entraînera l’impossibilité pour l’utilisateur de participer au Programme.

La communication des données est en revanche obligatoire dans tous les cas où, dans le cadre du Programme de fidélité L’Erbolario, l’utilisateur participe à une initiative qualifiée de « manifestation à primes » au sens du D.P.R. 430/2001 (ex. « L’Erbolario Club ») et y participe aux fins de l’attribution d’une prime.

Durée de conservation des données :

• les données identifiantes de l’utilisateur et de la Carte de fidélité seront conservées jusqu’à la révocation de la Carte de fidélité et/ou à la cessation de la participation de l’utilisateur au Programme de fidélité L’Erbolario. Il est rappelé que l’inactivité prolongée de la Carte de fidélité pendant une période continue supérieure à 36 mois entraînera sa suspension et sa suppression ultérieure. Aux fins de l’évaluation de l’inactivité, il est tenu compte de la non-utilisation de la Carte de fidélité dans le cadre des achats effectués dans les Points de vente et/ou sur le Site, selon les modalités prévues par le Règlement du Programme. En outre, le délai de 36 mois sera également interrompu lorsque l’utilisateur, bien qu’il n’effectue pas d’achats associés à la Carte de fidélité, bénéficie de l’un des services réservés aux utilisateurs adhérant au Programme de fidélité L’Erbolario sur le Site ou dans l’un des Points de vente ;

• les données relatives à la participation de l’utilisateur au Programme de fidélité L’Erbolario seront conservées pour une durée maximale de 12 mois à compter de la clôture du Programme.

Il est précisé que la cessation de l’adhésion au Programme de fidélité L’Erbolario, même à la demande de l’utilisateur, n’entraîne pas automatiquement la suppression de l’éventuel compte personnel activé sur le Site, qui pourra continuer à être utilisé pour les fonctionnalités et les services qui y sont disponibles. De même, la fermeture du compte personnel sur le Site n’entraîne pas automatiquement la cessation de l’adhésion au Programme de fidélité L’Erbolario, auquel l’utilisateur pourra continuer à participer par le biais des Points de vente, selon les modalités prévues par le Règlement. Reste réservée, dans les deux cas, la possibilité pour l’utilisateur de demander la cessation des deux relations.

3.2 MARKETING

Finalité : après consentement exprès de l’utilisateur, L’Erbolario traitera les données personnelles pour lui envoyer des communications commerciales, y compris la newsletter, des bons de réduction et des promotions, concernant des produits et services de celle-ci ou de tiers ainsi qu’aux fins de la réalisation d’études de marché (customer satisfaction), par e-mail, sms et/ou téléphone. En outre, le consentement ainsi exprimé permettra à L’Erbolario d’insérer dans les e-mails également des pixels de suivi (tracking pixel) qui permettent de comprendre si une communication a été ouverte et de collecter des informations utiles pour améliorer l’efficacité des communications. L’utilisateur pourra toujours désactiver le traçage en sélectionnant le lien dédié, présent dans le pied de page de l’e-mail, ou retirer intégralement le consentement donné aux fins de marketing au moyen du lien prévu à cet effet, également présent dans le pied de page de chaque e-mail, comme mieux décrit dans le paragraphe « révocation du consentement » qui suit.

Catégories de données traitées : nom, prénom, adresse e-mail, numéro de téléphone (s’il est fourni). En cas d’activation des pixels de suivi (si le consentement aux fins de marketing a été donné et qu’aucune opposition à ce traçage n’est intervenue) : données relatives à l’ouverture de l’e-mail et aux clics effectués (événement, date et heure, adresse IP et informations sur le programme ou le dispositif de messagerie utilisé pour l’ouverture ; liens internes à la communication consultés par l’utilisateur).

Base juridique : la base juridique qui légitime ce traitement est le consentement de la personne concernée, art. 6.1 a) du Règlement.

Nature de la communication des données : la communication des données aux fins de marketing est facultative ; il n’existe en effet aucune obligation légale ou contractuelle à la charge de l’utilisateur de fournir ces données pour cette finalité et/ou de donner son consentement au traitement de ses données personnelles.

Révocation du consentement : l’utilisateur pourra révoquer à tout moment le consentement donné et/ou s’opposer au traitement de ses données, en tout ou en partie :

• en cliquant sur le lien « Se désabonner » présent dans les communications e-mail ou, pour s’opposer au seul usage des pixels de suivi, en sélectionnant le lien dédié présent dans le pied de page de ces mêmes communications ;

• en se rendant dans un Point de vente, ou

• en contactant le service client, par les canaux de contact dédiés ou en écrivant à l’adresse info@erbolariocare.shop ou

• si l’utilisateur est inscrit sur le Site, par les paramètres du compte.

Il est en outre précisé que :

• en révoquant le consentement aux fins de marketing, sans autre indication, l’utilisateur ne recevra plus aucune communication commerciale de la part de L’Erbolario, par e-mail ou par les autres modalités décrites ici ;

• en sélectionnant uniquement le lien dédié à la désactivation des pixels de suivi, présent dans chaque communication par e-mail, l’utilisateur continuera à recevoir les communications commerciales de L’Erbolario, mais sans insertion des pixels de suivi à l’intérieur de celles-ci (ou, en tout état de cause, avec des outils ne permettant pas la collecte d’informations directement ou indirectement attribuables à l’utilisateur) ;

• en tout état de cause, la révocation du consentement ne compromet pas la licéité du traitement fondé sur le consentement donné avant la révocation ;

• la non-communication des données aux fins de marketing, l’absence de consentement à ce traitement et/ou la révocation de ce consentement et/ou l’exercice du droit d’opposition (même lorsqu’ils concernent exclusivement l’utilisation des pixels de suivi) n’entraînent aucune conséquence sur la possibilité pour l’utilisateur de participer au Programme de fidélité L’Erbolario et/ou d’effectuer des achats dans les Points de vente ou sur le Site.

Durée de conservation des données : jusqu’à la révocation du consentement et pour une durée maximale de 36 mois à compter de la communication des données. Il est rappelé à l’utilisateur que ce délai recommence à courir chaque fois que l’utilisateur effectue un achat dans un Point de vente en utilisant la Carte de fidélité ou, s’il est inscrit sur le Site, effectue un achat sur le Site ou interagit avec l’un des services du Site réservés aux utilisateurs adhérant au Programme, ayant, à ces occasions, la possibilité de révoquer le consentement précédemment donné.

Les informations relatives aux ouvertures des communications commerciales par e-mail et aux interactions avec celles-ci, collectées au moyen des pixels de suivi, seront conservées sous une forme attribuable au destinataire individuel exclusivement pendant le temps nécessaire à la poursuite des finalités pour lesquelles elles sont collectées et, en tout état de cause, sans dépasser la durée de conservation des données personnelles aux fins de marketing indiquée ci-dessus.

Il reste entendu que L’Erbolario pourra conserver les données personnelles pour les durées maximales de conservation prévues aux autres sections de la présente politique, si elles sont pertinentes et/ou, en tout état de cause, dans les cas prévus par le Règlement et/ou par la loi.

3.3 PROFILAGE

Finalité : après consentement explicite de l’utilisateur, L’Erbolario traitera les données personnelles pour :

– surveiller et analyser le comportement des utilisateurs sur le Site (ex. pages visitées et produits consultés) et, lorsque le consentement y afférent aux fins de marketing a été donné, y compris l’utilisation des pixels de suivi, les informations relatives à l’ouverture des communications commerciales envoyées par e-mail et la sélection des liens présents à l’intérieur de celles-ci, afin d’identifier les intérêts et les préférences des utilisateurs ;

– surveiller et suivre les données d’achat (ex : typologie des produits achetés, fréquence et volume des achats, etc.) dans les Points de vente et/ou sur le Site ;

– analyser et élaborer les données personnelles afin d’identifier des corrélations entre les comportements des utilisateurs et d’insérer ces derniers dans différents « clusters », soit des ensembles de typologies de clients pouvant présenter des caractéristiques communes ; et/ou

– envoyer, par e-mail ou par sms ou par opérateur téléphonique et/ou faire visualiser aux utilisateurs, sur le Site, des offres personnalisées, c’est-à-dire associées au cluster dans lequel l’utilisateur a été inséré et, donc, de son intérêt spécifique présumé.

Catégories de données traitées :

• nom, prénom, genre d’appartenance (s’il est fourni), date de naissance ;

• données d’achat (fréquence, quantité, typologie, montant, adresse d’expédition, numéro de téléphone, modalités de paiement) ;

• canaux d’achat (ex. Site et/ou Points de vente) ;

• données relatives à la participation au Programme de fidélité L’Erbolario (ex. points accumulés ; primes demandées) ;

• données de navigation (ex. adresse IP, pages et produits consultés) ;

• en outre, si le consentement aux fins de marketing a été donné, y compris l’utilisation des pixels de suivi, et qu’une révocation n’est pas intervenue pour ce traçage, données relatives à l’ouverture de l’e-mail et aux clics effectués (événement, date et heure, adresse IP et informations sur le programme ou le dispositif de messagerie utilisé pour l’ouverture ; liens internes à la communication consultés par l’utilisateur).

Base juridique : la base juridique qui légitime ce traitement est le consentement explicite de la personne concernée, art. 6.1 a) du Règlement.

Nature de la communication des données : la communication des données aux fins de profilage est facultative : il n’existe en effet aucune obligation légale ou contractuelle à la charge de l’utilisateur de fournir les données pour cette finalité et/ou de donner son consentement au traitement de ses données personnelles.

Révocation du consentement : l’utilisateur pourra révoquer à tout moment le consentement donné et/ou s’opposer, à tout moment, au traitement de ses données dans les Points de vente ou, s’il est inscrit sur le Site, par l’espace réservé du Site ou en contactant le service client, par les canaux de contact dédiés ou en écrivant à l’adresse info@erbolariocare.shop. Il est en outre précisé que :

• la révocation du consentement ne compromet pas la licéité du traitement fondé sur le consentement donné avant la révocation ;

• la non-communication des données aux fins de profilage, l’absence de consentement à ce traitement et/ou la révocation de ce consentement et/ou l’exercice du droit d’opposition n’entraînent aucune conséquence sur la possibilité pour l’utilisateur de participer au Programme et/ou d’effectuer des achats dans les Points de vente et/ou sur le Site ;

• si l’utilisateur a donné son consentement aux fins de marketing et n’a pas également révoqué ce consentement distinct (selon les modalités décrites au paragraphe 3.2 qui précède), la révocation du consentement au profilage n’entraînera pas automatiquement la cessation des communications commerciales.

Durée de conservation des données : jusqu’à la révocation du consentement et pour une durée maximale de 36 mois à compter de la communication des données. Il reste entendu que L’Erbolario pourra conserver les données personnelles pour les durées maximales de conservation prévues aux autres sections de la présente politique, si elles sont pertinentes et/ou, en tout état de cause, dans les cas prévus par le Règlement et/ou par la loi.

3.4 ANALYSE AGRÉGÉE

Finalité : L’Erbolario pourra traiter les données de l’utilisateur inscrit au Programme de fidélité également aux fins d’analyse interne, sur une base agrégée (ex. répartition des personnes concernées par âge et/ou genre d’appartenance), visant à l’amélioration des services et de l’offre des produits.

Catégories de données : genre d’appartenance, âge, canal d’inscription au Programme de fidélité L’Erbolario, typologie et volume des achats, utilisation des bons.

Base juridique : la base juridique qui légitime ce traitement est l’intérêt légitime du responsable du traitement ou d’un tiers (art. 6.1.f) du Règlement). Constitue un intérêt légitime du Responsable la possibilité d’effectuer des analyses internes, sur une base agrégée, visant à comprendre la composition des participants au Programme de fidélité L’Erbolario (ex. évaluation statistique du pourcentage de femmes et d’hommes, répartition en pourcentage par tranches d’âge) et des volumes et typologies de produits achetés dans ce cadre, afin d’améliorer le Programme et l’offre des produits associés. Cet intérêt légitime est compatible avec les droits et libertés des personnes concernées, dès lors que l’analyse est effectuée sur une base agrégée et est destinée à fournir au responsable du traitement une orientation générale, fonctionnelle à la définition de choix stratégiques, sans que l’analyse ainsi conduite puisse entraîner des répercussions directes sur les personnes concernées individuelles (ex. sollicitations publicitaires ciblées et/ou personnalisées) et sans effectuer d’évaluations, de prévisions ni tirer de conclusions concernant des personnes physiques spécifiques.

Nature de la communication des données : pour les finalités décrites ci-dessus, L’Erbolario utilise des données personnelles initialement collectées pour d’autres finalités (à savoir l’inscription au Programme de fidélité L’Erbolario), dont le traitement ultérieur est licite en tant que fondé sur l’intérêt légitime de L’Erbolario à orienter ses choix stratégiques et entrepreneuriaux. En cas d’exercice du droit d’opposition par l’utilisateur, L’Erbolario s’abstiendra de poursuivre le traitement des données personnelles des utilisateurs pour cette finalité, sauf s’il démontre l’existence de motifs légitimes impérieux qui prévalent sur les intérêts, les droits et les libertés de la personne concernée, ou que le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

3.5 SÉCURITÉ, FONCTIONNEMENT ET CONTRÔLE DU SITE

Finalité : L’Erbolario traitera les données des utilisateurs pour :

• prévenir, constater et gérer d’éventuels comportements en violation de ce qui est établi dans le Règlement du Programme de fidélité dans les Points de vente et/ou sur le Site ;

• vérifier la présence d’éventuels bugs et/ou dysfonctionnements du Site et pour prévenir et gérer les attaques informatiques et/ou d’autres infractions informatiques ;

• exécuter les obligations imposées par des lois, des règlements ou des ordres émanant des autorités compétentes.

Catégories de données traitées :

• données liées à l’accumulation des points et/ou à l’utilisation des avantages prévus par le Règlement du Programme de fidélité L’Erbolario sur le Site et/ou dans les Points de vente (ex. historique des transactions, points accumulés/utilisés, avantages demandés) ;

• données résultant des interactions de l’utilisateur avec le Site, que l’utilisateur soit connecté ou non (ex. données de navigation, logs d’accès, date et heure, actions effectuées à l’intérieur du Site) ;

• données techniques et de sécurité nécessaires à la surveillance, au diagnostic et à la prévention d’activités illicites ou de dysfonctionnements (ex. adresse IP, erreurs système, tentatives d’accès non autorisées).

Base juridique :

• pour la prévention et la constatation d’éventuels comportements en violation du Règlement du Programme de fidélité L’Erbolario, la base juridique du traitement est l’art. 6, par. 1, let. f) du Règlement. Constitue un intérêt légitime de L’Erbolario le fait de mener des activités visant à prévenir la participation frauduleuse au Programme de fidélité L’Erbolario et/ou aux autres manifestations à primes dont L’Erbolario est promoteur. Cet intérêt coïncide avec celui des participants au Programme ainsi que – plus généralement – avec l’intérêt de la collectivité à ce que soient dissuadés et identifiés les comportements frauduleux, en particulier dans des contextes (comme les manifestations à primes) où il est nécessaire de protéger la confiance publique ;

• pour la vérification d’éventuels bugs et dysfonctionnements du Site, ainsi que pour la prévention et la gestion d’attaques informatiques et/ou d’autres infractions informatiques, la base juridique du traitement est l’art. 6, par. 1, let. f) du Règlement. Constitue un intérêt légitime de L’Erbolario le fait de garantir la sécurité et la fonctionnalité de ses systèmes informatiques, ainsi que la protection des informations traitées par le biais du Site. Cet intérêt est également conforme aux attentes des utilisateurs, qui s’attendent à pouvoir naviguer dans un environnement numérique sûr, fiable et techniquement fonctionnel ;

• pour exécuter les obligations imposées par des lois, des règlements ou des ordres émanant des autorités compétentes, la base juridique du traitement est l’exécution d’une obligation légale, art. 6.1 c) du Règlement.

Nature de la communication des données : pour les finalités décrites ci-dessus, L’Erbolario utilise des données personnelles initialement collectées pour d’autres finalités (notamment pour permettre l’accès et la navigation sur le Site, l’inscription au Site et la participation au Programme de fidélité L’Erbolario), dont le traitement ultérieur est licite en tant que fondé sur l’intérêt légitime du Responsable. Cet intérêt légitime se fonde sur la compatibilité entre la finalité de prévention de l’usage abusif du Site et des services réservés aux utilisateurs inscrits, ainsi que de la participation frauduleuse au Programme de fidélité L’Erbolario, et les finalités pour lesquelles les données ont été initialement collectées. En cas d’exercice du droit d’opposition, L’Erbolario s’abstiendra de traiter ultérieurement les données personnelles des utilisateurs pour cette finalité, sauf s’il démontre l’existence de motifs légitimes impérieux qui prévalent sur les intérêts, les droits et les libertés de la personne concernée, ou que le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

Durée de conservation des données : les données traitées aux fins de surveillance du fonctionnement du Site, de sécurité, de prévention des attaques informatiques et de vérification de la régularité de la participation au Programme de fidélité L’Erbolario seront conservées pendant le temps strictement nécessaire à la poursuite de ces finalités, sous réserve d’éventuelles exigences liées à l’exercice ou à la défense d’un droit (pour lesquelles voir le par. 3.6 qui suit). Les logs techniques et de sécurité sont conservés pour une durée maximale de 12 mois, tandis que les données relatives au Programme de fidélité L’Erbolario peuvent être conservées jusqu’à 12 mois après l’expiration du Programme, sauf exigences spécifiques justifiant une conservation plus longue.

3.6 EXERCICE OU DÉFENSE D’UN DROIT

Finalité : L’Erbolario traitera les données des utilisateurs aux fins de la constatation, de l’exercice ou de la défense d’un droit devant toutes les instances compétentes.

Catégories de données traitées :

• données fournies au regard des finalités décrites aux paragraphes 3.1 – 3.5 de la présente politique ;

• données et métadonnées collectées à des fins de sécurité.

Base juridique : la base juridique qui légitime le traitement est l’intérêt légitime du responsable du traitement ou d’un tiers au sens de l’art. 6, par. 1, let. f) du Règlement. Constitue un intérêt légitime du responsable le fait d’engager des voies de recours pour garantir le respect de ses droits contractuels ou démontrer l’exécution des obligations découlant du contrat avec la personne concernée (par exemple, la participation au Programme de fidélité L’Erbolario ou l’utilisation des services réservés aux utilisateurs inscrits), ainsi que celles imposées par la loi (par exemple, la collecte et la documentation du consentement). Cet intérêt trouve son fondement dans le droit à la défense, constitutionnellement protégé, et peut être considéré comme prévalant sur les droits et libertés fondamentaux de la personne concernée, compte tenu également de ses attentes raisonnables. L’utilisateur a en tout état de cause le droit de s’opposer, à tout moment et pour des motifs liés à sa situation personnelle, au traitement des données personnelles effectué aux finalités indiquées ci-dessus (à savoir la défense d’un droit ou des fins de justice), en contactant L’Erbolario aux coordonnées indiquées au paragraphe 6 qui suit.

Nature de la communication des données : pour la finalité en question, sont traitées des données initialement collectées pour d’autres finalités (décrites aux paragraphes 3.1 – 3.5). Le traitement ultérieur de ces données est permis en tant que fondé sur l’intérêt légitime du Responsable, étant donné que la finalité en question est compatible avec les finalités initiales de la collecte, qui comprennent la nécessité pour le Responsable d’exercer ses droits contractuels et prévus par la loi, en garantissant le bon fonctionnement et la sécurité des services offerts, ainsi que le respect des réglementations applicables. En cas d’exercice du droit d’opposition, L’Erbolario s’abstiendra de traiter ultérieurement les données personnelles des utilisateurs pour cette finalité, sauf s’il démontre l’existence de motifs légitimes impérieux qui prévalent sur les intérêts, droits et libertés de la personne concernée.

Durée de conservation des données : les données personnelles seront conservées pendant la période nécessaire à la constatation, à l’exercice ou à la défense des droits du Responsable ou de tiers, compte tenu des délais de prescription applicables et de la durée éventuelle des procédures judiciaires ou administratives.

4. DESTINATAIRES DES DONNÉES PERSONNELLES

Les données personnelles décrites au paragraphe 3 qui précède pourront être communiquées à des tiers, qui fournissent des services au profit du Responsable et sont spécialement désignés par ce dernier au sens de l’art. 28 du Règlement, ainsi qu’aux employés et/ou collaborateurs du Responsable, dûment autorisés et instruits, au sens de l’art. 29 du Règlement. Une liste des catégories de destinataires est fournie ci-après :

• sociétés ou consultants chargés de l’installation et/ou de la fourniture et, en général, de la gestion des matériels et logiciels utilisés par L’Erbolario pour les activités décrites dans la présente politique ;

• sociétés du groupe auquel L’Erbolario appartient, pour l’exercice d’activités administratives liées aux activités décrites dans la présente politique ;

• prestataires de services soutenant la gestion des manifestations à primes (y compris « L’Erbolario Club ») et/ou des éventuels concours organisés de temps à autre par L’Erbolario ;

• fournisseurs des systèmes d’envoi de communications électroniques, y compris les newsletters ;

• personnes physiques et/ou morales (cabinets de conseil juridique, administratif et fiscal), lorsque la communication s’avère nécessaire ou fonctionnelle au bon accomplissement des obligations contractuelles assumées en relation avec la gestion du Programme et/ou des éventuels concours organisés de temps à autre par L’Erbolario, ainsi que des obligations découlant de la loi ou en cas de constatation, d’exercice ou de défense d’un droit.

Enfin, les données personnelles peuvent également être traitées par des sujets agissant en qualité de responsables autonomes du traitement :

• notaires ou autres officiers publics chargés du tirage au sort dans le cadre des manifestations à primes, dans les cas où la communication des données est nécessaire pour exécuter une obligation légale ;

• aux fins liées à l’exercice des activités de nature organisationnelle, administrative, financière et comptable, les données personnelles pourront être communiquées à L’Erbolario Holding s.r.l., société mère et contrôlante de L’Erbolario Società Benefit s.r.l. et, aux mêmes fins, également aux autres sociétés du groupe, en qualité de responsables autonomes du traitement, en raison de l’intérêt légitime des responsables à la circulation des informations au sein du même groupe d’entreprises, tel que défini par l’art. 4.19 du Règlement.

Parmi les fournisseurs de services technologiques figure Shopify International Ltd., dont le siège est en Irlande, fournisseur de la plateforme qui héberge le Site, qui traite les données personnelles des utilisateurs pour le compte de L’Erbolario, en qualité de sous-traitant, au sens de l’art. 28 du Règlement, dans le cadre de la fourniture des services de la plateforme.

Shopify peut en outre traiter, en qualité de responsable autonome du traitement, certaines données personnelles des utilisateurs, parmi lesquelles des données identifiantes et des données relatives aux dispositifs utilisés et aux interactions avec le Site, pour ses propres finalités (ex. sécurité des services en ligne et amélioration des fonctionnalités). Pour plus d’informations sur les traitements effectués par Shopify en qualité de responsable autonome, il est possible de consulter la politique de confidentialité. Pour exercer les droits prévus par le Règlement à l’égard de Shopify, l’utilisateur peut utiliser les outils mis à disposition dans la page Contrôles de confidentialité.

La liste des destinataires des données personnelles est disponible auprès du Responsable.

5. TRANSFERT DES DONNÉES VERS DES PAYS TIERS

Les données personnelles sont traitées au moyen d’outils informatiques dont L’Erbolario détient la licence ou, en tout état de cause, en vertu d’un contrat spécifique. Les fournisseurs de ces outils et/ou des services fournis par le biais du Site ont leur siège dans l’Union européenne. Toutefois, la gestion et/ou la maintenance des outils informatiques et/ou la fourniture de certains services peut impliquer la nécessité de transférer les données personnelles également en dehors de l’Union européenne. Dans ce cas, le transfert aura lieu selon l’une des modalités prévues par la loi en vigueur telles que, notamment : (i) l’existence d’une décision d’adéquation de la Commission européenne ou (ii) la sélection de sujets adhérant à des programmes internationaux pour la libre circulation des données (ex. EU-US Data Privacy Framework), au sens de l’art. 45, par. 3 du Règlement, ou (iii) l’adoption de clauses contractuelles approuvées par la Commission européenne (dites « Clauses Contractuelles Standard »), au sens de l’art. 46 du Règlement.

De plus amples informations sont disponibles, sur demande, auprès du Responsable.

6. DROITS DE LA PERSONNE CONCERNÉE

La personne concernée peut exercer, à tout moment, les droits prévus aux articles 15 – 22 du Règlement. En particulier, la personne concernée a le droit de :

• demander l’accès à ses données personnelles, leur rectification ou leur effacement, la limitation du traitement dans les cas prévus par l’art. 18 du Règlement,

• obtenir dans un format structuré, couramment utilisé et lisible par un dispositif automatique les données qui la concernent dans les cas prévus par l’art. 20 du Règlement (dit droit à la portabilité).

• révoquer le consentement donné, au sens de l’art. 7 du Règlement (selon les modalités décrites ci-après, ou en accédant au compte du Site, si l’utilisateur est inscrit, ou en s’adressant aux Points de vente) ;

• formuler une demande d’opposition au traitement des données, au sens de l’art. 21 du Règlement, dans laquelle il convient de mettre en évidence les raisons qui justifient l’opposition : le Responsable se réserve d’évaluer la demande, qui ne serait pas acceptée en cas d’existence de motifs légitimes impérieux pour procéder au traitement qui prévalent sur les intérêts, droits et libertés de la personne concernée ou pour la constatation, l’exercice ou la défense d’un droit en justice.

Les demandes d’exercice des droits énumérés ci-dessus doivent être adressées au Responsable selon l’une des modalités décrites ci-après (ou selon les autres modalités prévues dans la présente politique) :

• à l’adresse e-mail info@erbolariocare.shop ou

• en contactant le service client, à l’adresse info@erbolariocare.shop ; ou

• en contactant le service client au moyen du formulaire prévu à cet effet présent sur le Site ;

• par courrier postal, aux coordonnées indiquées au paragraphe 2 qui précède.

Les demandes d’exercice des droits de la personne concernée peuvent également être adressées au Responsable de la Protection des Données (« DPO ») à l’adresse : info@erbolariocare.shop.

Le Responsable répondra à la demande de la personne concernée sans retard injustifié et, en tout état de cause, dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prorogé de deux mois, si nécessaire, compte tenu de la complexité et du nombre des demandes, après communication à la personne concernée de la prorogation et des motifs qui la justifient.

Reste réservé le droit de la personne concernée d’introduire une réclamation auprès de l’Autorité Garante pour la protection des données personnelles, au sens de l’art. 77 du Règlement, ou de présenter un recours juridictionnel, au sens de l’art. 79 du Règlement, si elle estime que le traitement de ses données est contraire à ce qui est prévu par le Règlement ou par la réglementation en vigueur.