Informativa privacy

Questa informativa spiega come Hey Run S.a.s. di Astolfi Andrea & C. tratta i tuoi dati personali quando visiti il sito www.heyrun.it, acquisti, apri un account, aderisci al programma Member, ti iscrivi alla newsletter o ci contatti. È resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali). Non riguarda gli acquisti fatti direttamente nel negozio fisico. Versione in vigore dal 12 ottobre 2026.

1. Chi è il titolare del trattamento

Il titolare è Hey Run S.a.s. di Astolfi Andrea & C., Via Fratelli Scholl 6, 20077 Melegnano (MI), Partita IVA e Codice Fiscale 12793800967, REA MI 2684302.

• Email: [email protected]
• PEC: [email protected]
• Telefono: 02 3654 6612

Non abbiamo nominato un Responsabile della protezione dei dati (DPO), perché la nostra attività non rientra nei casi in cui l’art. 37 del GDPR lo richiede. Per qualsiasi domanda o richiesta sui tuoi dati scrivi a [email protected].

2. Quali dati trattiamo e da dove arrivano

• Dati di contatto e identificativi: nome, cognome, email, telefono.
• Indirizzi: di spedizione e di fatturazione, nome dell’azienda se lo indichi. Se chiedi la fattura, anche codice fiscale o partita IVA e codice destinatario o PEC.
• Dati dell’ordine: prodotti e taglie, importi, metodo di pagamento scelto ed esito, spedizione, resi e rimborsi, note che ci scrivi. I dati completi della carta non li riceviamo né li conserviamo: li tratta solo Nexi (o PayPal).
• Dati dell’account: email, password (che noi non vediamo: è conservata in forma cifrata), storico degli ordini, indirizzi salvati.
• Dati del programma Member e della newsletter: stato e date di iscrizione e di uscita, lingua, consensi dati, con il testo accettato, la data e l’ora, l’indirizzo IP e il browser usati in quel momento.
• Comunicazioni: il contenuto di email, messaggi WhatsApp e telefonate con il negozio.
• Dati di navigazione: indirizzo IP, data e ora, pagine richieste, tipo di browser e di dispositivo, lingua.
• Dati di provenienza e di campagna (solo se dai il consenso): parametri come UTM, gclid, fbclid e srsltid, pagina di arrivo, sito di provenienza.

Molti dati li fornisci tu. Altri li generiamo noi (per esempio lo stato dell’ordine) o li riceviamo da Nexi e PayPal (esito del pagamento), dal corriere (stato della consegna) e da Google (statistiche e conversioni). Sul Sito mostriamo una selezione di recensioni pubblicate su Google: nome dell’autore e testo sono dati pubblici che riceviamo da Google.

3. Perché trattiamo i dati, su quale base e per quanto tempo

3.1 Ordini, pagamento, consegna, ritiro, resi e garanzia

Dati: contatto, indirizzi, dati dell’ordine, esito del pagamento. Base giuridica: esecuzione del contratto e misure precontrattuali richieste da te (art. 6, par. 1, lett. b, GDPR). Conservazione: per tutta l’esecuzione del contratto, del recesso e della garanzia; poi i dati dell’ordine restano con i documenti contabili (punto 3.2).

3.2 Fatturazione, contabilità e obblighi fiscali

Base giuridica: obbligo di legge (art. 6, par. 1, lett. c). Conservazione: 10 anni (art. 2220 del codice civile e norme fiscali).

3.3 Account cliente

Base giuridica: esecuzione del contratto. Conservazione: finché l’account resta aperto. Se ne chiedi la chiusura lo cancelliamo senza ritardo e comunque entro un mese; i dati degli ordini restano conservati come al punto 3.2.

3.4 Programma Member

Gestiamo l’iscrizione e l’uscita, riconosciamo il Member per applicare i Prezzi Member, inviamo l’email di conferma e le comunicazioni di servizio. Base giuridica: gestione dell’account e dei prezzi: esecuzione del contratto; invio di comunicazioni commerciali: consenso (art. 6, par. 1, lett. a), che dai iscrivendoti. I consensi sono separati: quello per newsletter e comunicazioni commerciali è la condizione del programma, quello per l’analisi dei tuoi acquisti e delle tue preferenze, per ricevere proposte più adatte a te, è facoltativo. Per dimostrare il consenso conserviamo in un registro il testo accettato, la versione, la lingua, la data e l’ora, l’IP e il browser (art. 7, par. 1).

Conservazione: finché sei Member. Dopo l’uscita conserviamo il registro dei consensi come prova del consenso e per difenderci, per 5 anni dalla revoca. L’indirizzo IP e il browser registrati con il consenso sono cancellati dopo 24 mesi. Se chiedi la cancellazione dei tuoi dati, del registro conserviamo solo la prova del consenso, con l’email ridotta a un’impronta (art. 17, par. 3, lett. e).

3.5 Newsletter

Ti iscrivi con doppia conferma: ricevi un’email e premi il link. Le email partono tramite Brevo. Base giuridica: consenso. Conservazione: fino a quando non lo revochi, con il link «annulla l’iscrizione» presente in ogni email o scrivendoci. Dopo la revoca teniamo il tuo indirizzo in un elenco di esclusione per non scriverti più e per dimostrare la revoca (legittimo interesse, art. 6, par. 1, lett. f). Brevo registra se apri le email e se premi i link: usiamo questi dati, sulla base dello stesso consenso, solo per capire quali comunicazioni interessano e per smettere di scrivere a chi non le legge.

3.6 Suggerimenti personalizzati sul Sito

Se sei collegato al tuo account e hai già fatto ordini, il Sito usa i prodotti che hai acquistato per mostrarti modelli simili, nuove versioni e la tua taglia (sezione «Scelti per te»). La taglia può anche essere ricordata nel tuo browser. Base giuridica: legittimo interesse a mostrare ai clienti prodotti pertinenti (art. 6, par. 1, lett. f). Puoi opporti in qualsiasi momento scrivendo a [email protected]. L’elaborazione avviene quando visiti il Sito, a partire dagli ordini già presenti nel tuo account, e non crea un archivio separato di profili. Non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te (art. 22).

3.7 Assistenza

Rispondiamo alle richieste che ci arrivano per email, telefono e WhatsApp. Usiamo questi canali solo per assistenza. Base giuridica: esecuzione del contratto o misure precontrattuali richieste da te; per le altre richieste, legittimo interesse a rispondere a chi ci scrive (art. 6, par. 1, lett. b e f). Conservazione: per il tempo necessario a gestire la richiesta e poi, salvo contestazioni, per 24 mesi dalla chiusura.

3.8 Sicurezza, prevenzione di frodi e abusi

Proteggiamo il Sito, gli account e gli ordini: limitiamo il numero di richieste e di tentativi di accesso per indirizzo IP, controlliamo che ordine e pagamento corrispondano, analizziamo i registri tecnici in caso di anomalie. Base giuridica: legittimo interesse a garantire la sicurezza della rete e a prevenire frodi (art. 6, par. 1, lett. f). Conservazione: i contatori dei limiti restano in memoria del server per pochi minuti; i registri tecnici del server per il tempo strettamente necessario, secondo le impostazioni del fornitore di hosting. I controlli antifrode sui pagamenti li fanno Nexi e PayPal, ciascuno secondo la propria informativa.

3.9 Statistiche

Con Google Analytics 4 misuriamo visite, pagine, percorsi e acquisti (per esempio visualizzazione di un prodotto, aggiunta al carrello, inizio della cassa, acquisto) per migliorare il Sito. Base giuridica: consenso (art. 6, par. 1, lett. a, GDPR e art. 122 D.Lgs. 196/2003). Lo strumento parte solo se accetti la categoria «statistiche» nel banner. Conservazione: secondo la durata dei cookie (punto 6) e per il periodo di conservazione impostato in Google Analytics, al massimo 14 mesi.

3.10 Pubblicità e misura delle conversioni

Con Google Ads misuriamo quali annunci portano a un acquisto e, se acconsenti, mostriamo annunci pertinenti. Per le conversioni avanzate, dopo l’acquisto il tuo browser cifra con SHA-256 email, nome, cognome e telefono e invia queste impronte a Google, insieme a via, città, CAP, provincia e paese di fatturazione, per attribuire la vendita all’annuncio. I dati di contatto non lasciano il tuo browser in chiaro e le impronte sono tenute nella sessione solo fino alla pagina di conferma, poi vengono cancellate.

Con il Pixel di Meta misuriamo le azioni compiute sul Sito dopo un annuncio su Facebook o Instagram e possiamo mostrarti annunci pertinenti.

Base giuridica: consenso, tramite il banner (art. 6, par. 1, lett. a e art. 122 D.Lgs. 196/2003): questi strumenti partono solo se accetti la categoria «marketing». Conservazione: secondo la durata dei cookie (punto 6) e le impostazioni dei fornitori.

3.11 Attribuzione delle vendite alle campagne

Se arrivi da un annuncio o da un link con parametri di campagna, il Sito, se acconsenti, ricorda nel tuo browser questi parametri (UTM, gclid, fbclid, srsltid), la pagina di arrivo e il sito di provenienza; se ordini, li allega all’ordine, così sappiamo da quale campagna è nata la vendita. Base giuridica: consenso alla categoria «statistiche» o «marketing» del banner. Senza consenso li tiene solo per la visita in corso, senza scriverli nel browser, e li allega all’ordine solo se ordini in quella visita. Conservazione: nel tuo browser al massimo 90 giorni, o meno se cancelli i dati del Sito o revochi il consenso; sull’ordine, insieme ai dati dell’ordine (punto 3.2).

3.12 Difesa dei diritti e richieste delle autorità

Se serve, usiamo i dati per far valere o difendere un diritto, anche in giudizio, e per rispondere a richieste di autorità. Base giuridica: legittimo interesse e obbligo di legge (art. 6, par. 1, lett. f e c). Conservazione: per la durata del contenzioso e dei termini di prescrizione.

4. A chi comunichiamo i dati

Non vendiamo i tuoi dati. Li trattano il nostro personale autorizzato e fornitori esterni scelti da noi. Alcuni agiscono per nostro conto come responsabili del trattamento (art. 28 GDPR), altri come titolari autonomi.

Responsabili del trattamento:

• Hostinger: hosting del Sito e del gestionale WordPress/WooCommerce, con server nell’Unione europea.
• Brevo (Sendinblue SAS, Francia): invio di newsletter e delle email del programma Member.
• CookieYes: banner dei cookie e registro delle tue scelte (CookieYes Limited, Regno Unito, paese per il quale la Commissione europea ha adottato una decisione di adeguatezza).
• Google Ireland Limited: Google Analytics, Google Tag Manager e Google Ads. Per alcune funzioni pubblicitarie Google agisce come titolare autonomo.
• Meta Platforms Ireland Limited: Pixel di Meta.
• Commercialista e studio contabile: contabilità e adempimenti fiscali.
• Fornitori di assistenza informatica e sviluppo del Sito, che possono accedere ai dati per la manutenzione.

Titolari autonomi:

• Nexi Payments S.p.A. (servizio XPay): pagamenti con carta, Apple Pay e Google Pay.
• PayPal (PayPal (Europe) S.à r.l. et Cie, S.C.A.): pagamenti con PayPal.
• Corriere incaricato: nome, indirizzo, telefono ed email servono a consegnare il pacco e ad avvisarti.
• WhatsApp (gruppo Meta): quando ci scrivi su WhatsApp, il servizio tratta i messaggi secondo la propria informativa.
• Autorità, consulenti legali e assicurativi, quando la legge lo richiede o per difendere un nostro diritto.

In caso di cessione dell’azienda i dati passano al nuovo titolare, che ti informerà. L’elenco aggiornato dei responsabili è disponibile su richiesta.

5. Trasferimenti fuori dall’Unione europea

Hostinger e Brevo trattano i dati nell’Unione europea. Google, Meta e alcuni loro fornitori fanno parte di gruppi con sede negli Stati Uniti e possono trasferire dati fuori dallo Spazio economico europeo. I trasferimenti si basano sulla decisione di adeguatezza della Commissione europea sul Data Privacy Framework UE-USA (decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023) per le imprese certificate, oppure sulle clausole contrattuali tipo approvate dalla Commissione (art. 46, par. 2, lett. c, GDPR), con le misure supplementari necessarie. Puoi chiederci copia delle garanzie scrivendo a [email protected].

6. Cookie e strumenti simili

Per «cookie» intendiamo anche gli strumenti simili che salvano o leggono informazioni sul tuo dispositivo, come la memoria locale del browser (localStorage e sessionStorage). Quelli tecnici, strettamente necessari a offrirti il servizio che chiedi, non richiedono consenso. Quelli di statistica, pubblicità e attribuzione sì (art. 122 D.Lgs. 196/2003 e Linee guida del Garante del 10 giugno 2021). L’elenco aggiornato dei cookie di terze parti è nella Cookie Policy.

6.1 Strumenti tecnici (senza consenso)

Nome	Dove	A cosa serve	Durata
hr_session	cookie	Mantiene l’accesso al tuo account dopo il login. Si crea solo se accedi.	7 giorni o fino al logout
hr_locale	cookie	Ricorda la lingua del Sito, per email e messaggi nella tua lingua.	12 mesi
cookieyes-consent	cookie	Ricorda le scelte fatte nel banner.	12 mesi
hr_cart_v1, hr_coupon_v1	memoria locale	Tengono il carrello e l’eventuale codice sconto applicato.	Fino allo svuotamento del carrello o alla cancellazione dei dati del browser
hr_cassa	memoria di sessione	Conserva la bozza del modulo della cassa (senza password né accettazione dei Termini), per non perdere i dati se torni indietro.	Fino alla chiusura della scheda o alla fine dell’ordine
hr_last_order	memoria di sessione	Riepilogo dell’ultimo ordine, per la pagina di conferma.	Fino alla chiusura della scheda
hr_orders, hr_addresses	memoria locale	Ultimi ordini (fino a 20) e ultimi indirizzi (fino a 5) usati su questo dispositivo, per ritrovarli e compilare più in fretta.	Fino alla cancellazione dei dati del browser
hr_taglia	memoria locale	Ricorda la taglia che hai scelto, per proporti la tua misura. Non filtra mai da sola.	Fino alla cancellazione dei dati del browser
hr_lingua_suggerita	memoria locale	Ricorda che ti abbiamo già proposto di cambiare lingua.	Fino alla cancellazione dei dati del browser
hr_plp	memoria di sessione	Ricorda posizione e prodotti già mostrati nell’elenco, per riportarti dove eri quando torni indietro.	Fino alla chiusura della scheda

Se usi un dispositivo condiviso, cancella i dati del Sito dal browser quando hai finito: nella memoria locale restano gli ultimi ordini e indirizzi.

6.2 Strumenti con consenso

Strumento	Finalità	Attivo solo se accetti
Google Analytics 4 (tramite Google Tag Manager)	Statistiche sulle visite e sugli acquisti	Statistiche
Google Ads, comprese le conversioni avanzate	Misura degli annunci e pubblicità	Marketing
Pixel di Meta	Misura degli annunci e pubblicità	Marketing
hr_attribution (memoria locale)	Ricorda i parametri di campagna (UTM, gclid, fbclid, srsltid) per attribuire la vendita	Statistiche o marketing
hr_dati_ordine (memoria di sessione)	Impronte SHA-256 di email, nome, cognome e telefono per le conversioni avanzate di Google Ads, cancellate dopo la pagina di conferma	Marketing
hr_purchase_ seguito dal numero d’ordine (memoria di sessione)	Evita che lo stesso acquisto sia contato due volte nelle statistiche	Statistiche

6.3 Il banner e le tue scelte

La prima volta che visiti il Sito il banner di CookieYes ti chiede di scegliere. Fino a quando non scegli il Sito dice a Google che il consenso è negato (Consent Mode v2) e non installa cookie di statistica o pubblicità. Senza consenso i tag di Google possono inviare segnali anonimi, senza cookie e senza identificativi, che servono a stimare in forma aggregata visite e acquisti (modalità avanzata del Consent Mode). Per far funzionare il banner e il gestore dei tag (Google Tag Manager) il tuo browser carica gli script dai server dei fornitori, che ricevono quindi il tuo indirizzo IP anche prima della tua scelta.

Puoi cambiare o revocare le scelte in qualsiasi momento dal link «Preferenze cookie» in fondo a ogni pagina e cancellare i cookie dalle impostazioni del browser. Il banner ti chiederà di nuovo la scelta alla scadenza del periodo impostato in CookieYes, 12 mesi.

Quando scegli PayPal alla cassa, il Sito carica gli strumenti di PayPal; quando scegli la carta, passi alla pagina di pagamento di Nexi. Entrambi possono usare propri cookie tecnici e antifrode, secondo le rispettive informative.

7. I tuoi diritti

Hai diritto di:

• accedere ai tuoi dati e averne copia (art. 15);
• chiederne la rettifica (art. 16) o la cancellazione (art. 17);
• chiederne la limitazione (art. 18);
• riceverli in un formato di uso comune e trasmetterli a un altro titolare (portabilità, art. 20), quando il trattamento si basa su contratto o consenso;
• opporti al trattamento basato sul legittimo interesse (art. 21) e, in ogni momento, alla comunicazione commerciale e alla profilazione per finalità di marketing (art. 21, par. 2 e 3);
• revocare il consenso quando vuoi, senza pregiudicare il trattamento fatto prima (art. 7, par. 3): per le email dal link in fondo a ogni messaggio, per il programma Member anche dal tuo account, per i cookie dal banner;
• non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te (art. 22), che comunque non adottiamo.

Per esercitarli scrivi a [email protected] o alla PEC [email protected]. Rispondiamo senza ritardo e comunque entro un mese, prorogabile di due mesi nei casi complessi, e ti avvisiamo se serve più tempo. Possiamo chiederti di confermare la tua identità. L’esercizio dei diritti è gratuito.

Se ritieni che il trattamento violi la normativa puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, sito www.garanteprivacy.it), oppure rivolgerti all’autorità giudiziaria.

8. Se non fornisci i dati

I dati richiesti per l’ordine, per la consegna e per l’account sono necessari: senza non possiamo concludere il contratto, spedire l’ordine o creare l’account. Il consenso a newsletter, programma Member, statistiche e pubblicità è sempre libero: se non lo dai, puoi comunque acquistare, ma non puoi essere Member, perché le comunicazioni commerciali sono la condizione del programma.

9. Come proteggiamo i dati

Adottiamo misure tecniche e organizzative adeguate: connessione protetta (HTTPS), password conservate in forma cifrata, sessioni firmate che scadono, limiti ai tentativi di accesso, accesso ai dati riservato a persone autorizzate, nessuna gestione diretta dei dati della carta. Nessun sistema è completamente a prova di errore: se si verifica una violazione che presenta un rischio elevato per i tuoi diritti ti avvisiamo senza ingiustificato ritardo (art. 34 GDPR).

10. Minori

Il Sito non è rivolto ai minori di 14 anni e non raccogliamo consapevolmente i loro dati. L’account e il programma Member sono riservati ai maggiorenni. Per i consensi chiesti online, un minore di 14 anni ha bisogno dell’autorizzazione di chi esercita la responsabilità genitoriale (art. 2-quinquies D.Lgs. 196/2003); gli acquisti dei minorenni richiedono l’autorizzazione dei genitori, come indicato nei Termini. Se scopriamo di aver raccolto dati di un minore senza l’autorizzazione necessaria li cancelliamo.

11. Aggiornamenti dell’informativa

Aggiorniamo questa informativa quando cambiano i trattamenti o la normativa. La versione in vigore è sempre quella pubblicata su questa pagina, con la data. Se le modifiche ti riguardano in modo rilevante, per esempio nuove finalità basate sul consenso, ti avvisiamo e, dove serve, ti chiediamo un nuovo consenso: l’uso del Sito non vale come accettazione delle modifiche. Questa versione sostituisce quella del 24 luglio 2025.