Protezione dei dati

Il titolare del trattamento è GR2 SA (Chemin Falconnier 41, 1260 Nyon, Svizzera), la società che gestisce Merka. Si applica il diritto svizzero, in particolare la legge federale sulla protezione dei dati riveduta, in vigore dal 1° settembre 2023.

Per ogni domanda sui suoi dati, scriva a contact@merka.ch o all'indirizzo qui sopra. Se ha un conto, il modulo di supporto è più rapido: lì vediamo già i suoi ordini. Non è designato alcun consulente per la protezione dei dati: la legge non lo impone a un'impresa di queste dimensioni, e risponde la direzione.

Il suo indirizzo e-mail, indispensabile per la sua connessione e per avvisarla di ciò che riguarda le sue vendite e i suoi acquisti. Non c'è password: riceve un codice di sei cifre, di cui conserviamo solo un'impronta, valida quindici minuti.

Il suo pseudonimo, la sua città e la sua lingua, che sceglie lei. Insieme alla foto, è tutto ciò che gli altri membri vedono di lei. Per i venditori professionisti, la bottega mostra anche la ragione sociale e l'IDI; il suo indirizzo privato e la sua e-mail non sono mai mostrati.

La sua foto di profilo, se si connette tramite Google o Facebook. Viene allora copiata sui nostri server anziché mostrata dai loro: altrimenti il fornitore conoscerebbe l'indirizzo IP di ogni visitatore che consulta un suo annuncio. Alla copia i metadati sono rimossi.

I suoi annunci, i suoi ordini, i suoi messaggi, le sue domande, le sue offerte e le sue valutazioni, che sono la sostanza stessa del servizio. Una domanda posta su un annuncio è letta solo da lei e da chi vende; una valutazione, invece, è pubblica sotto il suo pseudonimo.

Le foto che carica. Prima di essere archiviate sono ridimensionate e TUTTI i loro metadati sono rimossi, comprese le coordinate GPS che il telefono vi inserisce. La foto viene ricodificata prima dell'analisi automatica, così i metadati non vengono trasmessi al motore.

L'indirizzo di consegna: nome, via, complemento, numero postale, località, paese e, se lo indica, il numero di telefono. È il dato più sensibile del sito. Chi vende lo vede solo il tempo di spedire: appena la vendita è saldata, non vi ha più accesso. Può registrare un indirizzo nel suo profilo per non riscriverlo; quello appartiene solo a lei.

Ciò che riguarda il pagamento: l'importo, lo stato dell'ordine, il riferimento del pagamento presso il nostro prestatore, le commissioni trattenute e (per chi vende) il fatto che le coordinate bancarie siano cambiate, mai le coordinate stesse. Nessun numero di carta raggiunge i nostri server.

Alcune tracce tecniche, e vanno nominate: una riga di sessione per connessione, un contatore di chiamate per indirizzo IP per fermare gli abusi, una riga per annuncio consultato, per visitatore e per giorno (per un visitatore non connesso non è l'indirizzo IP, ma un'impronta irreversibile dell'indirizzo IP e del browser) e un registro delle chiamate al motore di analisi: il suo identificativo, il modello, il numero di token, il costo stimato. Le durate sono più sotto.

Ciò che la moderazione trattiene: quando un testo o una foto attiva un controllo, il motivo e il passaggio in causa sono registrati con il suo identificativo. Lo stesso vale per una segnalazione che invia, con le relative foto, e per una sospensione di conto con il relativo motivo. Questo registro non è consultabile dal sito (è ciò che lo rende utile), ma può chiedercene copia.

Nessun dato bancario transita dai nostri server: il pagamento avviene in un riquadro isolato fornito dal nostro prestatore, e non vediamo mai un numero di carta.

Nessun tracciante pubblicitario, nessuno strumento di misurazione del pubblico, nessun pulsante di social network. Non sappiamo da dove viene né dove va poi.

Nessun dato degno di particolare protezione ai sensi della legge: né origine, né opinione, né salute, né religione, né dato biometrico. Non chiediamo nemmeno un documento d'identità: è il nostro prestatore di pagamento a verificare l'identità di chi vende, presso di sé.

Ciascuno di questi destinatari corrisponde a una chiamata che il codice effettua davvero. Non ce ne sono altri.

Stripe, per incassare e versare. Chi vende gli comunica direttamente la propria identità e le proprie coordinate bancarie, come la legge esige da ogni istituto che versa denaro; non conserviamo queste informazioni. Per chi acquista trasmettiamo l'importo, il riferimento dell'ordine e l'indirizzo e-mail, che serve alla ricevuta. Il modulo della carta è fornito da Stripe e gira nel suo browser: vedono quindi il suo indirizzo IP.

Mistral, per analizzare le foto degli annunci e, come riserva, per tradurre. La foto ricodificata parte senza metadati, e il testo dell'annuncio quando la traduzione tocca a loro. Il suo nome, il suo indirizzo e la sua e-mail non sono mai trasmessi.

Infomaniak, che ospita il sito, la base di dati e le foto (in Svizzera) e traduce gli annunci nelle altre due lingue nazionali. Un annuncio tradotto è leggibile da un capo all'altro del paese; parte il testo dell'annuncio, nient'altro.

swisstopo, quando digita un indirizzo. Ogni digitazione di almeno tre caratteri parte verso il registro federale degli edifici e delle abitazioni per proporle l'indirizzo giusto, e l'indirizzo completo vi torna una volta, per verificare che esista: un errore di battitura sul numero postale, e il pacco di un terzo va perduto. È un servizio della Confederazione, ospitato in Svizzera.

La Posta, per l'inoltro del pacco: l'indirizzo di consegna è comunicato a chi vende, che lo stampa sull'etichetta e consegna il pacco. Ne interroghiamo anche il tracciamento con il solo numero del pacco, a mano, dalla console d'esercizio, quando una controversia lo richiede.

Open Library e MusicBrainz, quando scansiona il codice a barre di un libro o di un disco per riempire l'annuncio in un gesto: partono solo le tredici cifre del codice, nulla che la riguardi.

Google, Facebook o Apple, solo se sceglie di connettersi tramite loro: ci restituiscono allora il suo indirizzo e-mail verificato e, se del caso, la sua foto. La pagina di pagamento carica ora il carattere tipografico dai nostri server, anche nel riquadro Stripe.

Nessun altro. Non vendiamo né affittiamo alcun dato, e non ne trasmettiamo a fini pubblicitari.

L'hosting, la base di dati, le foto e la traduzione restano in Svizzera. Due trattamenti ne escono: Stripe, la cui entità che ci serve è irlandese e il cui gruppo è americano, e Mistral, in Francia, che riceve le foto degli annunci. L'Irlanda e la Francia figurano fra gli Stati ai quali il Consiglio federale riconosce una protezione adeguata. Open Library e MusicBrainz sono americane e ricevono solo un codice a barre.

Il suo conto e i suoi annunci restano finché li tiene. Gli ordini e gli scambi che vi si riferiscono sono conservati oltre, perché fanno fede in caso di controversia e perché la contabilità lo impone. Nel dettaglio:

Tre meccanismi funzionano senza intervento umano, e deve saperlo. Un modello legge le sue foto per redigere l'annuncio, proporre una categoria e stimare il formato del pacco: è solo una proposta, e lei corregge tutto prima di pubblicare.

Un filtro di parole e la lettura della foto possono rifiutare una pubblicazione o segnalarla per una rilettura. E in caso di controversia, se chi vende non risponde per tre giorni, la piattaforma può decidere da sola a favore di chi acquista, ma solo al di sotto di cinquanta franchi, e mai oltre due rimborsi automatici per lo stesso acquirente: al terzo, riprende in mano un essere umano.

In ciascuno di questi casi, ci scriva: una persona riesaminerà la decisione.

La base separa i diritti riga per riga: una richiesta fatta a suo nome non può leggere ciò che appartiene a qualcun altro, anche se il codice sbaglia. I token di sessione e i codici di connessione sono conservati solo sotto forma di impronta: una fuga della base non permetterebbe di accedere ad alcun conto. Le foto perdono i loro metadati. L'accesso alla console d'esercizio è limitato a un elenco di indirizzi tenuto fuori dalla base.

Può consultare i suoi dati, correggerli, farli cancellare, opporsi a un trattamento e chiederne una copia. Pseudonimo, città, lingua, foto e indirizzo registrato si modificano dal suo profilo; per il resto, ci scriva: non c'è ancora un pulsante, si fa a mano, e rispondiamo entro trenta giorni.

La cancellazione di un conto non può comportare quella degli ordini conclusi: impegnano una persona diversa da lei, i documenti di una vendita devono restare disponibili in caso di contestazione, e la contabilità li trattiene dieci anni. Ciò che resta è allora ridotto a quanto questi obblighi esigono.

Se risiede nell'Unione europea (consegniamo in Germania, Francia, Italia e Austria), il RGPD si applica in più a ciò che la riguarda: gli stessi diritti, con la portabilità e la possibilità di rivolgersi all'autorità di controllo del suo paese.

In Svizzera può rivolgersi all'Incaricato federale della protezione dei dati e della trasparenza, a Berna.