Ultimo aggiornamento: 26 ottobre 2026 (versione 2026-10-26)
Il titolare del trattamento è Federico Bartolozzi, [da completare: CROSSLISTER_LEGAL_*]. Per qualsiasi domanda o richiesta sulla privacy scrivi a krovid199@gmail.com.
Non è stato nominato un responsabile della protezione dei dati (DPO): per questo servizio non è obbligatorio (art. 37 del Regolamento UE 2016/679, "GDPR").
Le basi giuridiche sono indicate con l'articolo del GDPR: contratto (art. 6.1.b, servono per fornirti il servizio), obbligo di legge (art. 6.1.c), legittimo interesse (art. 6.1.f, puoi opporti: sezione 12).
| Dati | Perché | Base giuridica | Per quanto |
|---|---|---|---|
| Account: email e se è verificata, nome visualizzato, indirizzo dell'immagine del profilo, identificativo dell'account Google; ruolo, stato, date di creazione e ultimo accesso, versione dei termini accettata e data | Creare l'account, riconoscerti quando accedi, assistenza | Contratto | Fino all'eliminazione dell'account |
| Dispositivi e sessioni: tipo di sistema, nome del dispositivo, versione dell'app, indirizzo IP e user agent al momento dell'accesso, ultimo utilizzo; impronte (hash) dei codici di sessione | Tenerti collegato, mostrarti i dispositivi e permetterti di disconnetterli, proteggere l'account | Contratto; legittimo interesse alla sicurezza | Finché la sessione è attiva; sessioni chiuse o scadute cancellate dopo 90 giorni |
| Preferenze: notifiche, vibrazione, motore di IA, istruzioni personali per titolo e descrizione | Personalizzare l'app e le schede | Contratto | Fino all'eliminazione dell'account |
| Profilo negozio: nome, città, CAP, nazione, spedizione, ritiro a mano, resi | Pubblicare su eBay (eBay chiede dove si trova l'oggetto e le regole di spedizione e reso) | Contratto | Fino all'eliminazione dell'account |
| Collegamento eBay: identificativo e nome dell'account eBay, codici di accesso eBay (cifrati), scadenze, autorizzazioni concesse | Pubblicare, modificare e chiudere le inserzioni, leggere gli ordini e comunicare la spedizione per tuo conto | Contratto | Fino allo scollegamento, all'eliminazione dell'account o all'avviso di eBay che l'account eBay è stato chiuso |
| Collegamento Subito e Wallapop (se lo attivi): stato del collegamento, località degli annunci Subito, date di collegamento e verifica; la sessione del sito (cookie e dati delle estensioni di pubblicazione) nel browser di CrossLister, cifrata. La password la scrivi tu sul sito di Subito o Wallapop: CrossLister non la conserva | Pubblicare per tuo conto gli annunci che approvi nell'app | Contratto | Fino allo scollegamento o all'eliminazione dell'account |
| Prodotti e foto: foto (ricodificate senza metadati: niente posizione GPS, modello del telefono o data) e miniature, impronta digitale (SHA-256) della foto originale, testi, prezzo, quantità, specifiche, categoria, opzioni di spedizione, schede Vinted | Il tuo catalogo, le analisi con l'IA e le inserzioni | Contratto | Fino all'eliminazione del prodotto o dell'account; le impronte delle foto fino all'eliminazione dell'account |
| Inserzioni: marketplace, stato, identificativi e indirizzi web delle inserzioni, rilanci, eventuali errori; storico delle azioni (pubblicazione, modifica, ritiro, esito) | Mostrarti lo stato delle inserzioni, assistenza, prevenzione degli abusi | Contratto; legittimo interesse | Inserzioni: con il prodotto. Storico delle azioni: vedi sezione 9 |
| Vendite e spedizioni: marketplace, numero d'ordine, quantità, prezzo, data, nome utente eBay di chi ha comprato (oppure "Dichiarata dall'utente"), data di spedizione, corriere, numero di tracking | Cruscotto delle vendite, chiusura automatica delle altre inserzioni (per evitare di vendere due volte lo stesso oggetto), comunicazione della spedizione a eBay, calcolo delle commissioni | Contratto; obbligo di legge per i registri contabili quando si applicano commissioni; legittimo interesse alla tutela dei diritti | Vedi sezione 9 |
| Commissioni: base di calcolo, importo, stato (dovuta, pagata, condonata) | Applicare le condizioni economiche dei termini di servizio | Contratto; obbligo di legge per i registri contabili quando si applicano commissioni | Vedi sezione 9 |
| Quote e consumi dell'IA: analisi riservate, consumate o rimborsate per mese; per ogni chiamata: modello, quantità di testo elaborato (token), costo stimato, durata, esito | Rispettare i limiti mensili e controllare i costi | Contratto; legittimo interesse | Consumi per chiamata: 730 giorni. Quote mensili: vedi sezione 9 |
| Prevenzione degli abusi: segnalazioni create dalle regole automatiche (tipo, gravità, messaggio, prodotto) e loro esito | Prevenire abusi e aggiramenti delle regole, decidere eventuali sospensioni | Legittimo interesse | Vedi sezione 9 |
| Notifiche push: codice del dispositivo per le notifiche, legato alla sessione, e piattaforma | Avvisarti quando un'analisi finisce, un'inserzione viene pubblicata o un oggetto viene venduto | Contratto; il permesso lo dai dal sistema operativo | Fino all'uscita dall'account, alla revoca del dispositivo o all'eliminazione dell'account |
| Sicurezza: registro delle operazioni importanti (accessi, iscrizioni, collegamenti eBay, esportazioni, eliminazione dell'account, azioni degli amministratori) con indirizzo IP; impronte dei codici Google già usati; contatori dei limiti di frequenza (con IP o identificativo utente); lavori in background con eventuali messaggi d'errore | Sicurezza, prevenzione degli abusi, diagnosi dei guasti | Legittimo interesse; misure di sicurezza (art. 32 GDPR) | Registro: 365 giorni. Impronte dei codici Google: fino alla loro scadenza. Contatori: 1 ora. Lavori: 90 giorni dalla conclusione |
| Registri tecnici del server: metodo, percorso, esito e durata di ogni richiesta, identificativi della richiesta e dell'utente (mai codici di accesso né contenuti) | Funzionamento e diagnosi dei guasti | Legittimo interesse | [da completare: periodo di conservazione dei log di sistema] |
| Messaggi che ci invii: email e contenuto | Rispondere, gestire richieste sulla privacy, reclami e segnalazioni | Contratto; obbligo di legge (GDPR, Digital Services Act); legittimo interesse | [da completare: periodo, es. 2 anni dalla chiusura della richiesta] |
Non chiediamo dati particolari (salute, opinioni, ecc.). Le foto però mostrano quello che inquadri: evita di fotografare persone, documenti, targhe o oggetti che rivelano informazioni personali tue o di altri.
Cosa fa. Dalle foto l'IA riconosce l'oggetto, sceglie la categoria tra quelle suggerite da eBay e prepara una proposta di scheda: specifiche, titolo, descrizione, condizione, prezzo suggerito ed eventuale codice EAN. Per Vinted l'IA prepara una scheda adattata a partire dai testi del prodotto.
Quale motore. Il motore predefinito è Google Gemini. In alternativa, quando è disponibile, puoi scegliere un modello locale installato su un computer del titolare (LM Studio): in questo caso i dati non escono dai sistemi del titolare. La scelta è in Profilo > Motori & Modelli AI.
Cosa riceve Google. Fino a 6 foto del prodotto ridotte a 1536 pixel sul lato lungo, i testi del prodotto (titolo di ricerca, categoria, specifiche) e le istruzioni personali che hai scritto. Mai la tua email, il tuo nome o altri dati del tuo account. Usiamo il servizio a pagamento dell'API Gemini: Google tratta questi contenuti per nostro conto (come responsabile del trattamento) e non li usa per addestrare o migliorare i propri modelli; li conserva per 55 giorni al solo scopo di individuare violazioni delle sue regole d'uso.
Sei tu a decidere. I testi e il prezzo proposti dall'IA sono suggerimenti, che puoi modificare: nulla viene pubblicato senza che tu lo chieda. L'IA può sbagliare (per esempio riconoscere un modello diverso o proporre un prezzo non adatto): controlla sempre la scheda prima di pubblicarla.
Nessuna decisione su di te. L'IA lavora sui prodotti, non valuta te e non prende decisioni che ti riguardano.
Alcune regole automatiche servono a far funzionare correttamente il servizio e a prevenire abusi:
Queste regole possono bloccare un'operazione o creare una segnalazione. Le segnalazioni vengono esaminate da una persona (l'amministratore del servizio): la sospensione di un account è sempre decisa da una persona, mai in automatico. Gli effetti automatici (blocco di un'operazione, soglia minima della commissione) derivano dalle regole dei termini di servizio che hai accettato (art. 22.2.a GDPR): puoi sempre chiedere che una persona riesamini il caso, spiegare le tue ragioni e contestare la decisione scrivendo al contatto della sezione 1.
Fornitori che trattano dati per nostro conto (responsabili del trattamento, art. 28 GDPR), ciascuno solo per il servizio indicato:
Soggetti che trattano i dati come titolari autonomi, secondo le proprie informative:
Persone autorizzate: il titolare, che amministra il servizio, [da completare: eventuali collaboratori con accesso ai dati di produzione], autorizzati e tenuti alla riservatezza.
Autorità: solo quando la legge lo impone.
Non vendiamo i tuoi dati e non li usiamo per pubblicità.
Il server di CrossLister, con il database e le foto, si trova in Italia. Google, Cloudflare e Apple possono trattare dati anche negli Stati Uniti o in altri paesi fuori dall'Unione europea. In questi casi il trasferimento avviene con le garanzie del Capo V del GDPR: la decisione di adeguatezza UE-USA ("EU-U.S. Data Privacy Framework", decisione di esecuzione (UE) 2023/1795) per le società certificate e, negli altri casi, le clausole contrattuali standard approvate dalla Commissione europea (decisione di esecuzione (UE) 2021/914), previste negli accordi sul trattamento dei dati di questi fornitori. Puoi chiedere informazioni su queste garanzie al contatto della sezione 1.
Ogni giorno il server cancella in automatico i dati scaduti: sessioni chiuse da oltre 90 giorni, lavori conclusi da oltre 90 giorni, registro di sicurezza oltre 365 giorni, consumi dell'IA oltre 730 giorni, contatori dei limiti dopo un'ora.
Quando elimini l'account: le inserzioni eBay ancora aperte vengono chiuse; vengono cancellati email, nome, immagine e metodo di accesso, preferenze, profilo negozio, collegamento eBay, codici per le notifiche, prodotti con foto, inserzioni e schede, impronte delle foto e lavori. Tutte le sessioni vengono chiuse.
Cosa resta dopo l'eliminazione: vendite (con il nome utente eBay di chi ha comprato, corriere e tracking), commissioni, storico delle azioni sulle inserzioni, segnalazioni anti-abuso e quote mensili dell'IA restano come registro, collegati solo a un codice interno, senza email né nome. Oggi non hanno una cancellazione automatica: li conserviamo per i registri contabili e la tutela dei diritti in caso di contestazioni, per [da completare: termine massimo di conservazione]. Restano inoltre, fino alla loro scadenza ordinaria, il registro di sicurezza (365 giorni), i consumi dell'IA (730 giorni) e le sessioni chiuse (90 giorni).
Copie di sicurezza: ogni notte facciamo una copia cifrata del database e delle foto. Teniamo le copie degli ultimi 7 giorni, 4 settimane e 6 mesi: un dato cancellato può quindi restare nelle copie fino a circa 6 mesi, dopo di che scompare. Le copie servono solo a ripristinare il servizio dopo un guasto.
L'app salva sul telefono solo quello che serve al funzionamento che hai chiesto (art. 122 del Codice privacy, che attua l'art. 5.3 della direttiva 2002/58/CE): i codici di accesso nel portachiavi protetto del sistema (iOS Keychain, Android Keystore), una copia cifrata del catalogo per consultarlo senza rete (cancellata quando esci dall'account) e, se attivi le notifiche, il codice per riceverle. Per questo non serve il tuo consenso.
Non usiamo cookie, strumenti di analisi, pubblicità, sistemi di tracciamento o di raccolta degli errori. Su Android il backup automatico dei dati dell'app nel cloud è disattivato.
Permessi: la fotocamera viene usata solo quando scatti una foto dall'app; le foto della galleria le scegli tu dal selettore del sistema, senza dare accesso alle altre; le notifiche si attivano con il permesso del sistema operativo e si possono disattivare in ogni momento dalle impostazioni del telefono o da Profilo > Notifiche.
Questa sezione è l'informativa per chi compra su eBay da un utente di CrossLister (art. 14 GDPR). Non avendo i tuoi contatti, la pubblichiamo qui.
CrossLister non ti contatta e non riceve mai i tuoi dati di pagamento.
Hai diritto di:
Dall'app puoi già: scaricare i tuoi dati in formato JSON (Profilo > Sicurezza e Credenziali > Esporta i miei dati: profilo con versione e data dei termini accettati, metodi di accesso, preferenze, profilo negozio, dispositivi attivi, prodotti, foto, inserzioni e loro storico, vendite, commissioni, segnalazioni, quote e consumi dell'IA, registro di sicurezza del tuo account), cambiare il nome visualizzato, vedere e disconnettere i dispositivi, scollegare eBay (Profilo > Integrazione eBay), gestire le notifiche ed eliminare l'account. Per tutto il resto (per esempio i lavori in background o i dispositivi già disconnessi) scrivi al contatto della sezione 1.
Come rispondiamo: senza costi, entro un mese dalla richiesta (prorogabile di due mesi nei casi complessi, e in quel caso ti avvisiamo, art. 12.3 GDPR). Per essere sicuri che la richiesta venga da te, possiamo chiederti di scrivere dall'indirizzo email del tuo account o di fare la richiesta dall'app.
Reclamo: puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it) o all'autorità del paese europeo in cui vivi o lavori (art. 77 GDPR), oppure rivolgerti al giudice (art. 79 GDPR).
I diritti di una persona deceduta possono essere esercitati da chi ha un interesse proprio o agisce per tutelarla, o per ragioni familiari meritevoli (art. 2-terdecies del Codice privacy).
Dall'app: Profilo > Sicurezza e Credenziali > Elimina account, con doppia conferma. Per sicurezza serve un accesso fatto da meno di 15 minuti: se è passato più tempo, esci e accedi di nuovo.
Senza l'app: scrivi a krovid199@gmail.com dall'indirizzo email del tuo account, con oggetto "Eliminazione account CrossLister". Eliminiamo l'account entro un mese.
Se si verificasse una violazione dei dati con un rischio elevato per i tuoi diritti, ti avviseremo senza ritardo (art. 34 GDPR).
CrossLister è riservato ai maggiorenni, come i marketplace su cui pubblica. Non verifichiamo l'età, ma se scopriamo che un account è di un minore lo eliminiamo.
I dati dell'account, dei prodotti e, per vendere su eBay, il collegamento eBay e il profilo negozio sono necessari per fornirti il servizio: senza, l'app non può funzionare. Le notifiche e le istruzioni personali per l'IA sono facoltative.
Se l'informativa cambia trovi qui la nuova versione, con data e numero di versione in alto. Le modifiche importanti te le comunichiamo prima che si applichino, nell'app o per email.
Regolamento (UE) 2016/679 (GDPR); D.Lgs. 196/2003 (Codice in materia di protezione dei dati personali) come modificato dal D.Lgs. 101/2018; direttiva 2002/58/CE (ePrivacy); Regolamento (UE) 2024/1689 (AI Act); legge 132/2025 (disposizioni in materia di intelligenza artificiale).
Termini di servizio: /termini