Smart Grading

Privacy Policy

Questa informativa spiega quali dati personali tratta Smart Grading, perché, per quanto tempo e a chi li comunica, come previsto dal Regolamento (UE) 2016/679 (GDPR). Il Titolare del trattamento è I7 s.r.l.s., che gestisce il sito www.smart-grading.eu e il servizio di valutazione dello stato di conservazione di carte collezionabili. I dati del Titolare sono in fondo alla pagina.

Quali dati trattiamo

Perché li trattiamo

• Esecuzione del Servizio: valutazione delle carte da remoto, report, spedizione degli slab e degli accessori, comunicazioni sugli ordini.
• Obblighi di Legge: obblighi fiscali, contabili e di legge.
• Comunicazioni: risposta alle richieste di assistenza e ai messaggi scritti con il modulo «Contattaci» del sito (nome, email e testo del messaggio).
• Email di servizio: Invio delle sole email necessarie al servizio: verifica della registrazione, conferma della registrazione, recupero della password, conferma d'acquisto, avviso di spedizione del pacco, avviso di rispedizione del pacco tornato indietro, risposta automatica dell'assistenza, esito del recesso non accolto e avviso di rimborso registrato, in esecuzione del contratto (Art. 6.1.b GDPR); conferma di ricevimento del recesso, in adempimento di un obbligo di legge (Art. 6.1.c GDPR).
• Notifiche nell'area riservata: avvisi su carte, ordini, spedizioni e recesso, mostrati quando accedi; il rifiuto di un recesso arriva anche qui, con il motivo.
• Analisi Statistica: come viene usato il sito, con Google Analytics, solo se accetti la categoria «Statistiche» nel banner dei cookie.
• Marketing: misura delle campagne di Smart Grading su Facebook e Instagram con il Meta Pixel, solo se accetti la categoria «Marketing» nel banner dei cookie.
• Prova dei consensi: registro delle accettazioni di Termini e Privacy Policy, della dichiarazione e della richiesta di avvio immediato al momento dell'acquisto e della conferma dell'avviso sulle foto, con data e ora, versione del testo, indirizzo IP, user agent e identificativo dell'account (Art. 7 GDPR).

Le basi giuridiche sono: l'esecuzione di un contratto di cui l'interessato è parte (Art. 6.1.b GDPR), l'adempimento di obblighi legali (Art. 6.1.c GDPR), il legittimo interesse del Titolare per prevenzione frodi e miglioramento del servizio (Art. 6.1.f GDPR) e il consenso dell'interessato (Art. 6.1.a GDPR) per le statistiche e il marketing tramite cookie. Il consenso si revoca in qualsiasi momento dal link «Preferenze cookie».

Niente marketing senza consenso. Smart Grading non manda comunicazioni di marketing (email, messaggi) a chi non ha dato un consenso salvato. Oggi il sito non raccoglie questo consenso, quindi non ne manda a nessuno.

Foto e video delle carte

Il servizio richiede le foto della carta e un video. Le foto servono per l'analisi dello stato di conservazione con l'intelligenza artificiale, per l'eventuale revisione dello staff e per il report. I video non vengono inviati ad alcun sistema di intelligenza artificiale, né interi né come fotogrammi: il video grading è obbligatorio per salvare la carta e documenta la ripresa continua della carta dal fronte al retro; oltre all'Utente, i video possono essere consultati solo dallo staff, per la revisione della carta, la verifica delle prove dello slab e la prevenzione di frodi sull'attivazione NFC. I video non vengono pubblicati: non compaiono nel museo, nel riassunto visto dagli altri utenti né nel certificato. Foto e video non vengono usati per riconoscere le persone e non sono trattati come dati biometrici.

Mani, volti e persone. Le foto devono inquadrare la carta; possono comparire le mani dell'Utente. Niente volti, altre persone o dati personali (documenti, indirizzi, schermi). Le foto vengono inviate ai fornitori di intelligenza artificiale indicati più sotto: se nell'inquadratura compaiono mani, volti o dati personali, arrivano anche a loro. Nel video grading si vedono le mani dell'Utente: va evitato di inquadrare volti, tatuaggi e anelli riconoscibili. Prima di caricare le foto di ogni carta nuova l'Utente conferma di aver letto questo avviso; la conferma viene registrata per ciascuna carta, con data, ora, versione del testo, indirizzo IP e user agent.

Foto e video sono conservati in uno spazio privato per tutta la durata dell'account (vedi la tabella di conservazione). Se l'Utente pubblica una carta nel museo (quando la funzione è attiva), gli altri utenti registrati vedono solo il fronte e il retro della carta chiusa nello slab, con il voto e i dati della carta; mai persone, volti o avatar.

Intelligenza Artificiale, Processo Decisionale e Revisione Umana

Il voto dello stato di conservazione è generato da sistemi di intelligenza artificiale e il report lo indica, come previsto dal Regolamento (UE) 2024/1689 (AI Act). Il sistema analizza le foto per stimare quattro parametri (angoli, bordi, superficie e centratura) e li combina secondo la scala di Smart Grading.

La valutazione riguarda una carta, non la persona: non ci sono decisioni con effetti giuridici sull'Utente prese solo in modo automatico (Art. 22 GDPR). Lo staff controlla le valutazioni e l'Utente può chiedere la rivalutazione manuale dall'area riservata, alle condizioni dei Termini, o scrivere a info@smart-grading.eu.

Fornitori del servizio di analisi. Per l'analisi dello stato di conservazione le foto della carta (fronte, retro, dettagli degli angoli e loro ritagli) sono inviate a Google (servizio Gemini API). Solo in caso di guasto o indisponibilità di Gemini, le stesse foto sono inviate a OpenAI (OpenAI API), fornitore di riserva. I fornitori ricevono le foto per restituire l'analisi e trattano i dati come responsabili del trattamento per conto di Smart Grading. Google: Gemini API con chiave a pagamento, secondo i termini della Gemini API e il relativo accordo sul trattamento dei dati; con i servizi a pagamento Google non usa le richieste per migliorare i propri prodotti. OpenAI: OpenAI API, con OpenAI Ireland Limited come contraente per l'Europa e con un accordo sul trattamento dei dati (DPA) firmato; per impostazione predefinita i dati inviati tramite l'API non sono usati per l'addestramento dei modelli e sono conservati al massimo 30 giorni per il controllo degli abusi. I fornitori hanno sede negli Stati Uniti: il trasferimento avviene sulla base delle Clausole Contrattuali Standard approvate dalla Commissione europea (Art. 46 GDPR) e dell'EU-US Data Privacy Framework dove il fornitore vi aderisce.

I messaggi di assistenza, i messaggi su Telegram e sui social e le richieste di revisione dei clienti non vengono inviati ad alcun sistema di intelligenza artificiale.

Immagini, valutazioni e correzioni dello staff possono essere utilizzate, in ambiente interno e protetto, per la calibrazione e il miglioramento dei modelli di valutazione, sulla base del legittimo interesse del Titolare (Art. 6.1.f GDPR). Non vengono cedute a terzi per l'addestramento di modelli. L'Utente può opporsi a questo uso scrivendo al Titolare, senza conseguenze sul servizio.

Avatar

L'avatar è facoltativo. Si vede solo nell'area riservata dell'Utente (e dallo staff, per l'assistenza): non compare nel museo né nelle pagine viste da altri utenti.

Inviti

Se un utente si registra con il link d'invito di un altro utente, chi ha invitato vede l'indirizzo email mascherato dell'invitato e lo stato dell'invito.

Età Minima

Il servizio è riservato a chi ha almeno 18 anni.

Come trattiamo i dati

Con strumenti elettronici e manuali, con misure tecniche e organizzative adeguate a proteggere sicurezza, integrità e riservatezza dei dati (Art. 32 GDPR).

Conservazione dei Dati

I dati personali sono conservati per il tempo necessario alle finalità per cui sono raccolti, secondo questa tabella:

Dati	Per quanto tempo
Account (email, profilo, avatar)	Finché l'Utente non chiede la cancellazione dell'account, dall'area riservata. Nessuna cancellazione automatica per inattività.
Carte, foto e video	Per tutta la durata dell'account. Alla cancellazione dell'account le carte non validate e i loro file vengono cancellati subito; le carte validate (chip attivo o prove dello slab approvate) restano con il loro report, collegate solo a un identificativo interno che non rimanda più ad alcun account, perché il certificato accompagna la carta fisica.
Carte chiuse con «Analisi non completabile» ed eliminate dall'Utente (anche con la cancellazione dell'account)	In un archivio chiuso, che vede solo lo staff: 2 anni dalla chiusura, poi cancellate automaticamente con foto, video e voti.
Ordini e dati di fatturazione	10 anni (Art. 2220 c.c.), anche dopo la cancellazione dell'account.
Registro delle operazioni (chi ha fatto cosa e quando)	10 anni, come gli ordini.
Consensi e prese d'atto (termini, privacy, dichiarazioni all'acquisto, avviso sulle foto)	Non modificabili, come prova del consenso: 10 anni, come gli ordini, anche dopo la cancellazione dell'account.
Richieste di recesso e di rimborso	10 anni, come gli ordini, anche dopo la cancellazione dell'account.
Messaggi scritti con il modulo «Contattaci» (nome, email e testo)	12 mesi dalla ricezione, poi cancellati.
Bozze di carte mai salvate in collezione, con le loro foto	24 ore, poi cancellate automaticamente.
Tentativi di accesso (protezione da accessi ripetuti)	30 giorni dall'ultimo tentativo, poi cancellati automaticamente; un blocco ancora attivo resta fino alla sua scadenza.
Contatori contro le richieste ripetute (Upstash: IP, identificativo dell'account, email)	60 secondi, poi scadono automaticamente.
Copie giornaliere del database fatte da Supabase	Conservate per 7 giorni.
Copie di sicurezza del database	Fino a 30 giorni (copia esterna su Cloudflare R2, nell'Unione europea).
Copie di sicurezza dei file delle carte (foto e video)	Finché il file è sul sito; dopo la cancellazione dal sito, 30 giorni a partire dalla copia notturna successiva, poi tolto anche dalla copia.
Dati di navigazione (Google Analytics, solo con consenso)	Dati nella proprietà Google Analytics: 14 mesi. Cookie _ga sul dispositivo: fino a 2 anni.

Quando un dato viene cancellato secondo questa tabella, nelle copie di sicurezza resta fino a 30 giorni in più: le copie del database vengono cancellate dopo 30 giorni; un file delle carte cancellato dal sito viene tolto dalla copia 30 giorni dopo la copia notturna successiva alla cancellazione.

Condivisione dei Dati

I dati personali possono essere comunicati a:

• Corrieri: solo per spedire all'Utente gli slab e gli accessori. Le carte non vengono mai spedite a Smart Grading.
• Stripe: Per l'elaborazione sicura dei pagamenti, con i metodi indicati al momento del pagamento. I dati di pagamento sono gestiti direttamente da Stripe secondo gli standard PCI-DSS. Stripe invia direttamente al cliente la ricevuta del pagamento e quella del rimborso.
• Google Analytics: per le statistiche sul sito, solo con il consenso alla categoria «Statistiche». Informativa del fornitore: la Privacy Policy di Google.
• Fornitori di intelligenza artificiale: Google (Gemini API) per l'analisi dello stato di conservazione delle foto delle carte e, solo in caso di guasto, OpenAI (OpenAI API) come fornitore di riserva; vedi la sezione «Intelligenza Artificiale, Processo Decisionale e Revisione Umana».
• Supabase: Fornitore del database e dello spazio dei file del servizio (account, carte, foto e video, ordini, consensi). Il progetto si trova nella regione eu-central-2, a Zurigo, in Svizzera. Supabase fa anche una copia di sicurezza giornaliera del database, conservata per 7 giorni.
• Netlify: Fornitore dell'hosting del sito e del server su cui girano le funzioni del servizio; riceve tutte le richieste fatte al sito e i dati che vi passano. Dal 19 ottobre 2026 le funzioni del server sono eseguite a Francoforte, in Germania (regione eu-central-1).
• Aruba S.p.A.: Fornitore della casella di posta di Smart Grading: riceve e conserva i messaggi che arrivano a Smart Grading, compresi quelli scritti con il modulo «Contattaci». È anche uno dei due fornitori da cui partono le email del servizio.
• Resend: L'altro fornitore da cui partono le email del servizio. Le email del servizio (verifica della registrazione, recupero della password, conferma d'acquisto, spedizioni, assistenza, recesso e rimborsi) partono tutte dallo stesso sistema, che le invia tramite Aruba o tramite Resend: il fornitore che invia un'email riceve l'indirizzo del destinatario e il testo del messaggio.
• Upstash: Freno alle richieste ripetute su acquisti, richieste di assistenza e link pubblici delle foto. Riceve, in chiaro, l'indirizzo IP, l'identificativo dell'account per gli acquisti e, per la risposta automatica dell'assistenza, l'indirizzo email del destinatario; ogni voce scade dopo 60 secondi. Database su AWS in Irlanda (regione eu-west-1).
• Telegram: I clienti possono scrivere in privato al canale Telegram di Smart Grading; lo staff risponde da Telegram. I messaggi restano su Telegram: nei nostri sistemi non viene salvato nessun messaggio. Quando ne arriva uno, il sito crea solo una notifica per lo staff, senza testo né nome del cliente. Nessun messaggio va a un sistema di intelligenza artificiale.
• Cloudflare (servizio R2): Per le copie di sicurezza: ogni notte una copia del database (compresi i dati degli account) e dei file delle carte (foto e video) viene salvata in due spazi privati di Cloudflare R2 con giurisdizione Unione europea, dove i dati sono conservati. Le copie del database restano 30 giorni; un file cancellato dal sito viene tolto dalla copia 30 giorni dopo la copia notturna successiva alla cancellazione.
• Meta Platforms Ireland Ltd: Solo con il consenso alla categoria «Marketing»: gli eventi del Meta Pixel raccolti dal browser, cioè visita di una pagina (PageView), scorrimento della pagina (ViewContent), registrazione completata (Lead), avvio di un pagamento con importo, valuta e nome del prodotto (InitiateCheckout) e acquisto completato con importo, valuta e identificativo del pagamento (Purchase). Senza consenso il Meta Pixel non viene caricato. Il nostro server non invia dati a Meta. Meta può trasferire i dati negli Stati Uniti sulla base delle Clausole Contrattuali Standard e del Data Privacy Framework UE-USA. Informativa del fornitore: facebook.com/privacy/policy.
• Consulenti e professionisti: per adempimenti contabili, fiscali e legali, solo per quanto necessario.
• Autorità: quando la legge lo richiede o per tutelare i diritti del Titolare. Su richiesta legittima delle autorità, Smart Grading può comunicare foto, video e dati dell'account collegati a una carta.

Alcuni destinatari (Google, OpenAI, Meta, Stripe, Netlify, Resend, Supabase, Upstash, Cloudflare) hanno sede negli Stati Uniti o possono trattare i dati negli Stati Uniti, anche quando i dati sono conservati in Europa; Telegram ha sede fuori dall'Unione europea. I dati non sono trasferiti fuori dall'Unione Europea senza adeguate garanzie ai sensi degli Artt. 44-49 del GDPR: per questi trasferimenti, le Clausole Contrattuali Standard approvate dalla Commissione europea (Art. 46 GDPR). Il database e i file sono conservati da Supabase in Svizzera, paese per cui la Commissione europea ha adottato una decisione di adeguatezza (Art. 45 GDPR). Le funzioni del server su Netlify girano a Francoforte, i contatori di Upstash sono in Irlanda e le copie di sicurezza su Cloudflare R2 sono conservate nell'Unione europea.

Diritti dell'Interessato

Come previsto dagli Artt. 15-22 del GDPR, l'Utente ha il diritto di:

• Accedere ai propri dati personali e sapere come sono trattati (Art. 15).
• Correggere i dati sbagliati o incompleti (Art. 16).
• Chiedere la cancellazione dei propri dati, nei casi previsti (Art. 17).
• Limitare il trattamento, nei casi previsti (Art. 18).
• Ricevere i propri dati in un formato leggibile e portarli a un altro titolare (Art. 20).
• Opporsi al trattamento (Art. 21).
• Non essere sottoposto a decisioni basate solo sul trattamento automatico (Art. 22).
• Revocare il consenso in qualsiasi momento, senza effetti sul trattamento fatto prima della revoca.
• Proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Per esercitare questi diritti: info@smart-grading.eu

Cookie Policy

Il sito usa cookie tecnici necessari al funzionamento e, solo con il consenso dell'Utente, cookie statistici (Google Analytics) e di marketing (Meta Pixel), in due categorie separate. I dettagli sono nella Cookie Policy.

Sicurezza dei Dati

Adottiamo misure tecniche e organizzative adeguate al rischio: connessioni cifrate (SSL/TLS), controlli sugli accessi, copie di sicurezza giornaliere e una procedura per gli incidenti di sicurezza (Art. 33 GDPR).

Modifiche a questa informativa

Il Titolare può aggiornare questa informativa. Ogni versione ha una data e un numero ed è archiviata in PDF qui sotto. Quando esce una versione nuova, nell'area riservata compare un avviso che invita a uscire e rientrare: al login successivo l'Utente legge e accetta i testi nuovi, e l'accettazione viene salvata con la versione.

Contatti del Titolare

• Titolare del trattamento: I7 s.r.l.s.
• Sede legale: Corso Alessandro Tassoni 50, 10144 Torino (TO), Italia
• P. IVA: 13508020016 — Capitale sociale: € 1.000,00 i.v. — REA: TO-1368191
• Email: info@smart-grading.eu
• Sito web: www.smart-grading.eu