In questa sezione trovi:
Per approfondimenti
Servizio di supporto
La rete Enterprise Europe offre su questi temi un servizio di consulenza online. Utilizzando il modulo di domanda che ti segnaliamo è possibile formulare domande e ottenere chiarimenti. Il modulo prevede l’inserimento di alcuni dati personali e dell’impresa e uno spazio per la formulazione della domanda di 3000 caratteri.
Il commercio elettronico, come abbiamo visto nei Moduli precedenti, offre molti vantaggi, ma comporta, ovviamente, anche il rispetto di obblighi normativi. In questa pagina ti presentiamo una panoramica delle norme da rispettare nella gestione di contratti di vendita e di prestazione di servizi a distanza e alcuni punti di riferimento per l’approfondimento e il supporto. Come premessa, possiamo affermare che la vendita online deve essere conforme alle leggi dell’UE, includendo sia leggi specificamente legate all’e-commerce sia leggi relative alla privacy. Le norme mirano a proteggere i diritti dei consumatori e a evitare pratiche che possano trarre in inganno i consumatori.
N.B. Le informazioni riportate su questa pagina si riferiscono esclusivamente alle vendite B2C.
Nella fase di pre-vendita è necessario fornire una serie di informazioni precise al consumatore e devono essere messe a disposizione del consumatore le condizioni generali di vendita. I potenziali clienti di un sito di e-commerce devono avere a disposizione tutte le informazioni necessarie per valutare l’acquisto e fare scelte consapevoli. Gli operatori, d’altro canto, potranno operare in maniera più trasparente e funzionale. Prima di concludere il contratto occorre fornire al cliente le informazioni elencate di seguito, in modo chiaro e comprensibile.
*Nell’allegato I della Direttiva 2011/83/UE sono riportate indicazioni precise per la compilazione di un modulo informativo sulle condizioni per il recesso.
Le informazioni elencate vanno fornite in modo chiaro e facilmente comprensibile.
Subito prima che il cliente effettui l’ordine (prima che faccia clic su un pulsante per pagare/procedere con l’acquisto) e vicino al pulsante il venditore deve indicare chiaramente e in modo ben visibile:
Il cliente deve inoltre avere la possibilità di confermare che, una volta effettuato l’ordine, è tenuto a effettuare il pagamento. Per esempio: il pulsante “Conferma ordine” deve indicare chiaramente la sua funzione, cioè recare il testo “Ordina e paga”.
Caselle preselezionate: non è possibile utilizzare caselle preselezionate quando si richiedono pagamenti supplementari per servizi aggiuntivi, ad es. l’assicurazione di viaggio quando si prenota un volo. Il cliente deve sempre avere la possibilità di autorizzare esplicitamente pagamenti supplementari.
Il venditore che attiva una linea telefonica dedicata per le domande e/o i reclami della clientela riguardanti i contratti, deve garantire che le chiamate siano fatturate alla tariffa di base per le telefonate normali.
È vietato utilizzare linee telefoniche a tariffa maggiorata per queste finalità.
In caso di vendita online di contenuti digitali (musica, video o software), il venditore deve informare il cliente anche su:
Quando il cliente inizia ad accedere ai contenuti, scaricandoli, via streaming o in altro modo, non può più recedere dal contratto.
Tuttavia, prima occorre dare al cliente la possibilità di dare il proprio consenso esplicito in proposito e di accettare di rinunciare al diritto di recesso non appena inizia il download, ecc.
Occorre inoltre includere una conferma del consenso e dell’accettazione della rinuncia al diritto di recesso nella conferma del contratto inviato al cliente.
Al momento della conferma del contratto, è necessario fornire per iscritto le informazioni obbligatorie. La conferma deve avvenire su un supporto duraturo (lettera, e-mail, ecc.), ma può anche essere inviata a un account personale sul sito del venditore al quale il cliente ha accesso.
Occorre confermare il contratto quanto prima, al più tardi alla consegna delle merci o prima dell’erogazione del servizio.
Se sono state fornite tutte le informazioni necessarie sul diritto di recesso, il cliente ha 14 giorni per recedere dal contratto senza incorrere in sanzioni e senza dover indicare un motivo:
Per i contratti misti, come, ad esempio, quelli che offrono beni come oggetto principale del contratto con l’aggiunta di servizi supplementari – si applica il diritto di recesso per i beni, vale a dire fino a 14 giorni dopo la consegna. Per i contratti che offrono servizi come oggetto principale del contratto – con l’aggiunta di servizi supplementari – si applica il diritto di recesso per i servizi, vale a dire fino a 14 giorni dopo la conclusione del contratto.
In tutti i casi, il periodo è esteso al giorno lavorativo successivo se termina in un fine settimana o un giorno festivo.
Se le informazioni necessarie non sono state fornite, il cliente ha un anno in più per recedere dal contratto. Se nel corso di questo periodo di un anno il venditore fornisce le informazioni necessarie, il periodo di recesso di 14 giorni inizia dal momento in cui le informazioni sono fornite.
Il venditore deve restituire i soldi ricevuti (o annullare il pagamento) entro 14 giorni dalla notifica del recesso. Il venditore può trattenere il rimborso finché non ha ricevuto la merce dal cliente o una prova dell’effettivo invio della merce. Il cliente paga il costo della restituzione della merce (tranne quando il venditore non lo ha informato in anticipo a questo proposito o nel caso in cui siano definite modalità diverse).
Il venditore deve rimborsare le spese di consegna originali (ma non eventuali costi supplementari se il cliente ha scelto un’opzione di consegna (ad es. espressa) più costosa di quella standard).
Prima di recedere dal contratto, il cliente può solo esaminare la merce come se fosse in un negozio, per potersi accertare che sia quella ordinata e desiderata. Se il cliente ha utilizzato la merce prima di restituirla, il venditore può chiedere un rimborso per la diminuzione del valore dovuta all’uso.
Se, su richiesta del cliente, il venditore ha iniziato a erogare il servizio ordinato (ad esempio, l’installazione di un sistema di allarme) prima del termine del periodo di recesso e il cliente decide di recedere dal contratto, quest’ultimo deve pagare i servizi erogati fino a quel momento.
Le principali eccezioni alle regole sul recesso riguardano i contratti per:
Se vuoi restituire un prodotto entro 30 giorni dal ricevimento perché hai cambiato idea, consulta la nostra pagina d’aiuto sul Diritto di Recesso. Se hai ricevuto un prodotto difettoso o danneggiato consulta la nostra pagina d’aiuto sulla Garanzia Legale. Per informazioni specifiche sugli acquisti effettuati su Marketplace consulta la nostra pagina d’aiuto su Resi e rimborsi per articoli Marketplace.
Se non diversamente indicato nel contratto, il venditore è tenuto a consegnare la merce senza indebito ritardo non oltre 30 giorni dalla conclusione del contratto.
Se è impossibile consegnare entro 30 giorni o entro la scadenza concordata, il cliente può chiedere la consegna entro una scadenza successiva.
Se la consegna non avviene entro la nuova scadenza, il cliente può recedere dal contratto e chiedere un risarcimento.
Se la data di consegna specificata è essenziale (ad esempio, per un vestito da sposa), il cliente può recedere dal contratto immediatamente e ha diritto a essere rimborsato integralmente se la merce non è consegnata entro la data inizialmente concordata.
Il venditore è responsabile degli eventuali danni alla merce durante la consegna, tranne quando il cliente provvede direttamente alla consegna incaricando un trasportatore. Il venditore è sempre responsabile della merce trasportata da un vettore incaricato da lui.
I cookie sono dei piccoli file di testo necessari affinché il server del sito web che li ha installati possa ottenere informazioni sulla specifica attività che l’utente compie su quelle pagine web. Detti file possono essere temporanei e cancellarsi al termine della singola sessione oppure possono rimanere “nascosti” nei meandri delle cartelle del nostro pc, rientrando in collegamento con l’applicazione web ogni volta che l’utente si riconnette al medesimo server remoto. I cookie non sono pericolosi e senza di essi molti siti web non potrebbero funzionare. Il cookie più diffuso è quello “di sessione” che contiene i dati relativi al login o al “carrello” e-commerce o alla scelta del volo che state acquistando: è necessario per dare alle pagine che troviamo durante il percorso di navigazione o d’acquisto, le informazioni relative alle nostre scelte. Senza questi cookie i siti con aree riservate o con percorsi “a step” non potrebbero esistere. Esistono poi i cookie non essenziali, tramite i quali l’applicazione web “studia” le azioni, le preferenze, i dati relativi all’utente. Questo avviene a fini di analisi, per conoscere quali siano le provenienze dei visitatori, gli strumenti di connessione, la frequenza delle visite, le preferenze di determinate pagine al posto di altre, così da poter migliorare sempre più il servizio offerto. Altre volte, invece, l’installazione dei cookie avviene a fini di marketing, per non “disperdere” le pubblicità e selezionare il target esatto a cui mostrate un determinato banner o annuncio. Il cookie che “conosce” le nostre preferenze, ci mostrerà esclusivamente advertising alla quale potenzialmente siamo più interessati, con ottimizzazione delle campagne. È proprio, in particolare, su questi ultimi file che è intervenuta la legge a tutela della privacy del consumatore, stabilendo strette direttive a cui tutti i siti internet devono adeguarsi, dando la possibilità all’utente di conoscere cosa sta avvenendo nel substrato di un sito web e di decidere se accettare, eliminare, bloccare determinati cookie.
La normativa italiana sulle modalità di utilizzo dei cookie da parte degli operatori internet si basa sui contenuti di un testo emanato, sotto forma di provvedimento, nel maggio 2014, dal Garante della Privacy, recante l’individuazione delle modalità semplificate per l’informativa e l’acquisizione del consenso per l’uso dei cookie. Il testo, pubblicato sulla Gazzetta Ufficiale n. 126 del 3 giugno 2014, parte dal recepimento di numerose Direttive comunitarie in tema di protezione dei dati personali e dai suggerimenti pervenuti all’Autorità Garante da parte dei maggiori operatori nei servizi di comunicazione elettronica, dalle associazioni dei consumatori e delle categorie economiche i cui interessi sono stati toccati dalla pubblicazione del regolamento. Il provvedimento ha espressamente previsto che ad esso debba adeguarsi qualsiasi sito internet effettui un “utilizzo dei cookie” nei confronti di cittadini italiani, indipendentemente dal fatto che il sito stesso, o il suo gestore, abbia sede nel nostro Paese o all’estero. La regolamentazione della gestione dei cookie prende spunto dalla normativa italiana vigente in materia di trattamento dei dati personali: l’articolo 122 del Codice della Privacy prevede infatti che le informazioni derivanti dalla tracciatura del profilo di un utente, possano essere utilizzate esclusivamente se tale utente ha manifestato espressamente la propria disponibilità ad utilizzare questi dati.
Da tale premessa deriva la “ratio legis”, per cui chiunque utilizzi cookie ha l’obbligo di informare l’utente sull’uso di questi e sul tipo di finalità che si intende perseguire tramite gli stessi. Il titolare di un sito web che vuole mettersi a norma per non rischiare le pesanti sanzioni previste dalla legge deve, prima di tutto analizzare i propri cookie per comprenderne usi e funzionalità. Da questa analisi, deriverà il tipo di informativa, banner, consenso che il titolare del sito dovrà utilizzare.
GPDR sta per “General data protection regulation”. L’acronimo nomina il nuovo regolamento dell’Unione sulla protezione dei dati – Regolamento 2016/679 del Parlamento europeo e del Consiglio – che disciplina il trattamento dei dati personali* relativi alle persone nell’Unione europea, da parte di persone, società o organizzazioni. Le norme non si applicano ai dati trattati da un individuo per motivi strettamente personali o per attività svolte in casa, a condizione che non vi sia alcun legame con attività professionali o commerciali. Quando invece una persona utilizza i dati personali al di fuori della «sfera personale», ad esempio per attività socio-culturali o finanziarie, allora occorre rispettare la normativa sulla protezione dei dati.
*Sono dati personali:
Al contrario, ad esempio, non è considerato dato personale l’indirizzo e -mail info@azienda.com.
L’applicazione del regolamento sulla protezione dei dati non dipende dalle dimensioni dell’azienda/organizzazione, ma dalla natura delle sue attività. Le attività che presentano rischi elevati per i diritti e le libertà delle persone, indipendentemente dal fatto che siano svolte da una PMI o da una società di capitali, determinano l’applicazione di norme più severe. Tuttavia, alcuni degli obblighi del GDPR potrebbero non applicarsi a tutte le PMI. Ad esempio, le aziende con meno di 250 dipendenti non devono tenere un registro delle loro attività di trattamento, a meno che il trattamento dei dati personali non sia un’attività regolare, costituisca una minaccia per i diritti e le libertà individuali o riguardi dati sensibili o casellari giudiziari. Analogamente, le PMI dovranno nominare un responsabile della protezione dei dati soltanto se il trattamento dei dati costituisce la loro attività principale e rappresenta una minaccia specifica per i diritti e le libertà individuali (come il controllo delle persone o il trattamento di dati sensibili o di casellari giudiziari), in particolare perché avviene su vasta scala.
Per approfondimenti puoi visitare il sito della Commissione e quello del Garante per la privacy di cui puoi leggere nel paragrafo successivo.
Ad esempio mostriamo la presentazione del modulo GPDR proposto da PrestaShop che trovi nella versione demo della piattaforma.
Il punto di riferimento per la privacy in Italia è il Garante per la protezione dei dati personali: un organo collegiale, composto da quattro membri eletti dal Parlamento, i quali rimangono in carica per un mandato di sette anni non rinnovabile.
I compiti del Garante sono definiti definiti dal decreto legislativo 196 del 2003 e da altre fonti normative nazionali e dell’Unione europea. Il Garante si occupa di tutti gli ambiti, pubblici e privati, nei quali occorre assicurare il corretto trattamento dei dati e il rispetto dei diritti delle persone connessi all’utilizzo delle informazioni personali. In particolare il Garante si occupa di:
Sul sito del Garante puoi trovare i provvedimenti deliberati dal Garante per la protezione dei dati personali per sua diretta iniziativa o in riferimento a istanze, ricorsi, reclami, segnalazioni, richieste di pareri, presentate da cittadini, aziende, associazioni, enti etc.; il rimando ai principali riferimenti normativi, in ambito italiano ed internazionale, sul tema della tutela della riservatezza e della protezione dei dati personali. Un’ulteriore opportunità di approfondimento giuridico è offerta dall’area, in costante aggiornamento, dedicata alla giurisprudenza in materia di privacy.
Le variabili che influiscono sui livelli di sicurezza di un sito e in particolare di un sito e-commerce sono molte, così come sono molte le minacce della rete: phishing, truffe, furto di identità, spam, sistemi concepiti per carpire, manipolando i sistemi informatici, notizie e dati personali con lo scopo di ottenere informazioni di accesso riservate alla gestione di conti bancari o postali e programmi concepiti per invadere, danneggiare, sottrarre o cancellare i dati. La sicurezza di un sistema può essere analizzata e descritta a partire da quattro caratteristiche fondamentali: riservatezza, integrità, autenticità e “non-ripudiabiltià”.
La catena della sicurezza di un sito e-commerce va analizzata nei suoi elementi costitutivi: l’utente, la rete Internet, la web farm. Eliminare del tutto i rischi è impossibile. Le piattaforme online di cui ti parleremo più avanti investono in questo settore continuamente adottando misure specifiche e offrono di default sistemi di sicurezza automatici*. Tuttavia investire in sicurezza significa anche adottare strategie minime. A seguire abbiamo inserito 15 azioni che le imprese, dalle micro alle grandi, devono intraprendere per la loro sicurezza secondo le indicazioni del Centro di ricerca per la sicurezza informatica dell’Università La Sapienza di Roma. Non si tratta di strategie specifiche per l’e-commerce, ma operazioni che se perseguite consentono di lavorare in sicurezza sempre. Per avere una visione più completa ti invitiamo a visionare il documento completo.
Se conosci WordPress puoi fare riferimento a Siteground.
E per concludere, a seguire, alcuni suggerimenti per ridurre al minimo i rischi per la sicurezza e la privacy associati all’e-commerce.
La politica dovrebbe indicare come verranno raccolte e utilizzate le informazioni e le procedure di sicurezza che verranno utilizzate per proteggere le informazioni dalla perdita, dal furto o dalla manomissione. Potresti pubblicare questa politica sul tuo sito web. A questo proposito ti invitiamo a documentarti sul nuovo codice sulla privacy, il cosiddetto GDPR- General Data Protection Regulation.
Potresti anche richiedere un sigillo privacy, che può aumentare la fiducia dei consumatori. Assicurati di disporre della tecnologia SSL Secure Socket Layer che crittografa tutte le informazioni riservate durante la trasmissione e l’autorizzazione delle transazioni.
SSL è la tecnologia più comunemente utilizzata per transazioni online sicure. SSL crittografa (o codifica) tutti i dati tra il server del negozio e il computer del cliente. Ciò rende molto difficile per le terze parti decodificare qualsiasi informazione scambiata, come i numeri delle carte di credito.
Puoi ottenere facilmente un certificato SSL che dimostra che tutti i dati personali inviati al tuo sito saranno crittografati direttamente dalla società di hosting.
Assicurati di disporre di funzioni di sicurezza appropriate per l’archiviazione delle informazioni. (Ad esempio, una scheda PCI (periferica di interconnessione dei componenti: hardware) viene spesso aggiunta per la protezione. Un altro approccio è SET (Secure Electronic Transaction) che è stato sviluppato da Visa e MasterCard. Con questo approccio, le informazioni sensibili non sono viste dall’azienda e non sono archiviate sul sito Web della società. I firewall dovrebbero essere utilizzati per proteggere la rete e i computer da virus e hacker informatici.
Puoi inoltre prendere in considerazione eventuali servizi avanzati di protezione dalle frodi forniti attraverso i provider di gateway (ad esempio filtri anti-frode per ricercare attività sospette).
