Privacy Policy

Informativa sul trattamento dei dati personali — GuideXpress

La presente informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”) e del D.lgs. 30 giugno 2003 n. 196, come modificato dal D.lgs. 10 agosto 2018 n. 101 (“Codice Privacy”), agli utenti dell’applicazione mobile GuideXpress e dei servizi collegati. La lettura è raccomandata prima di registrare un account, attivare la geolocalizzazione o utilizzare le funzionalità dell’App.

1. Titolare del trattamento

Il Titolare del trattamento è:

RDITALY S.r.l.
Sede legale: Via Lavoratori Vittime del Col du Mont, 21 e 24 — 11100 Aosta (AO), Italia
Email privacy: info@rditaly.com
Email generale: info@rditaly.com

Ogni riferimento a “noi”, “il Titolare”, “la Società” nella presente informativa deve intendersi a RDITALY S.r.l.

2. Responsabile della Protezione dei Dati (DPO)

Il Titolare ha designato volontariamente un Responsabile della Protezione dei Dati (DPO) ai sensi dell’art. 37 GDPR:

Valerio Falcicchio
Email: dpo@rditaly.com

L’indirizzo è dedicato e riservato al DPO: l’art. 38, par. 5, GDPR lo vincola al segreto, e una casella aziendale generica esporrebbe le comunicazioni dell’interessato a personale non autorizzato.

L’interessato può rivolgersi al DPO per qualsiasi questione attinente al trattamento dei propri dati personali e all’esercizio dei diritti previsti dal GDPR.

3. Ambito di applicazione

La presente informativa si applica:

• all’applicazione mobile GuideXpress (Apple App Store e Google Play Store);
• al sito web guidexpress.com e relativi sottodomini;
• al portale policy.guidexpress.com;
• alla piattaforma my.guidexpress, limitatamente alla ricezione delle prenotazioni effettuate dagli ospiti tramite il concierge dell’hotel;
• ai servizi accessori (audio guide georeferenziate, gamification, notifiche push, esplorazione geolocalizzata, concierge dell’hotel, comunicazioni di marketing, questionari, concorsi e iniziative promozionali).

Non si applica a siti o servizi di terzi collegati dall’App.

4. Categorie di dati personali trattati

4.1 Dati forniti volontariamente dall’utente

Registrazione email/password:

• nome e cognome;
• indirizzo email;
• password (cifrata con hash unidirezionale);
• facoltativi: data di nascita e genere.

Login social (Apple, Google, Facebook): identificativo provider, email, nome visualizzato.

Durante l’utilizzo: avatar, preferenze di sistema, preferiti, itinerari, feedback, ticket di assistenza, risposte a questionari e sondaggi, dati di partecipazione a concorsi e iniziative promozionali, preferenze sulle comunicazioni (tipi di contenuto e canali scelti).

Concierge dell’hotel (solo se attivato, par. 5.8): struttura ricettiva, data di partenza scelta dall’ospite (al massimo 60 giorni dopo l’attivazione), cognome, numero di cellulare e periodo del soggiorno (data di attivazione e di fine); per ogni prenotazione, servizio prenotato, giorno e fascia oraria, numero di persone ed eventualmente numero di camera e note. Da struttura, numero di cellulare e cognome è calcolata un’impronta crittografica non reversibile (par. 5.8). Il codice QR della struttura è letto con la fotocamera del dispositivo: nessuna immagine viene salvata o trasmessa.

Accettazione dell’informativa e dei termini: data in cui l’account ha accettato i termini del servizio; versione della presente informativa accettata, con data, ora e versione dell’App (par. 15).

4.2 Dati raccolti automaticamente

Geolocalizzazione: coordinate GPS in tempo reale e in background (solo con permesso dell’utente).

Dispositivo e utilizzo: UUID pseudonimo, modello dispositivo, OS, versione App, lingua, token FCM, interazioni con l’App, crash report.

Gamification: POI visitati, timbri ottenuti, transazioni wallet, completamento tour.

Comunicazioni “Novità”: quali comunicazioni di GuideXpress l’utente ha letto, al solo scopo di mostrare correttamente l’indicatore dei messaggi non letti su tutti i suoi dispositivi. Il dato è conservato fino a 400 giorni e cancellato con l’account.

Tramite l’SDK di Meta (solo con il consenso di cui al par. 5.7): identificativo per-installazione generato dall’SDK (non è l’identificativo pubblicitario del dispositivo, non è condiviso fra app diverse, si rigenera alla reinstallazione); due soli eventi applicativi — apertura dell’App e registrazione completata, quest’ultimo senza alcun parametro; informazioni tecniche di base (tipo di dispositivo, OS, versione App, paese). A Meta non vengono trasmessi email, nome, posizione GPS né contenuti consultati.

Interazione con le comunicazioni di marketing (solo con il consenso di cui al par. 5.7(b)): consegna, apertura e clic su email, notifiche push e messaggi in-app, rilevati anche tramite pixel e link tracciati nelle email; data, ora e dispositivo dell’interazione; storico dei consensi e delle disiscrizioni.

4.3 Dati ricevuti da terzi

In caso di login social, solo i dati indicati al par. 4.1 secondo le impostazioni del provider. Se usi il concierge dell’hotel, riceviamo dalla piattaforma della struttura (my.guidexpress) la conferma o l’annullamento delle prenotazioni, comprese quelle fatte al totem della struttura e ricondotte a te con l’impronta descritta al par. 5.8.

4.4 Categorie particolari di dati

Il Titolare non richiede e non tratta categorie particolari di dati (art. 9 GDPR). I questionari non contengono domande su tali categorie.

4.5 Dati relativi a minori

L’App è destinata a utenti di 16 anni o più. La modalità di ascolto per bambini è attivabile esclusivamente in modo manuale dall’adulto titolare dell’account. In questo scenario non vengono raccolti dati del minore.

Qualora il Titolare venga a conoscenza di dati di minori di 16 anni senza autorizzazione genitoriale, procederà alla cancellazione immediata.

5. Finalità del trattamento e basi giuridiche

5.1 Erogazione del Servizio (art. 6.1.b GDPR)

Account, funzionalità App, audio guide, preferiti, gamification, assistenza tecnica.

5.2 Geolocalizzazione (consenso — art. 6.1.a GDPR)

Consenso raccolto a due livelli: permesso OS + informativa in-app.

Finalità	Tipo	Dati raccolti
Contenuti di prossimità	Core	Coordinate GPS in memoria (non persistite)
Audio guide automatiche	Core	Coordinate GPS in memoria (non persistite)
Registrazione visite POI per timbri	Core	Evento di visita (non le coordinate)
Navigazione cartografica	Core	Coordinate trasmesse a Mapbox
Posizione registrata ogni 30 secondi durante una sessione guidata attiva (analytics)	Miglioramento	Coordinate a piena precisione, anche con App in background e schermo spento, associate all’identificativo di dispositivo e non all’account. Conservate 30 giorni. Disattivabile da Impostazioni → Privacy e consensi
Posizione durante eventi audio (analytics)	Miglioramento	Coordinate pseudonimizzate, max 24 mesi

La coordinata e il fatto della visita sono due cose diverse. Le coordinate sono trattate solo sulla base del consenso. La registrazione dell’avvenuta visita a un punto di interesse (identificativo e data/ora, senza coordinate), che alimenta punteggi e timbri, è trattata per l’esecuzione del servizio (art. 6.1.b) e resta conservata anche se revochi il consenso alla geolocalizzazione. Le coordinate GPS non sono mai usate per finalità di marketing né per la personalizzazione delle comunicazioni.

Revoca possibile in qualsiasi momento dalle impostazioni del dispositivo.

5.3 Notifiche push (consenso — art. 6.1.a GDPR)

Timbri, concierge (conferme e annullamenti delle prenotazioni), notifica mostrata durante il tracciamento GPS attivo, comunicazioni informative e promozionali. Ogni categoria disattivabile indipendentemente. Le notifiche e i messaggi in-app di carattere promozionale richiedono sia il permesso del sistema operativo sia il consenso alle comunicazioni di marketing di cui al par. 5.7(b): il solo permesso alle notifiche non vale come consenso al marketing.

5.4 Obblighi legali (art. 6.1.c GDPR)

Adempimenti fiscali, contabili e richieste delle Autorità.

5.5 Legittimo interesse (art. 6.1.f GDPR)

Sicurezza, diagnostica, analytics pseudonimizzati. Le coordinate GPS non sono mai trattate sulla base del legittimo interesse — né quelle periodiche né quelle degli eventi audio: sono tutte sotto consenso (par. 5.2). I dati di analytics trattati su questa base non sono condivisi con Meta né con altri fornitori pubblicitari. Il legittimo interesse non è mai usato come base per inviare comunicazioni di marketing, nemmeno nella forma prevista dall’art. 130, comma 4, Codice Privacy (cosiddetto soft spam): tutte le comunicazioni promozionali si basano solo sul consenso del par. 5.7(b).

Il legittimo interesse copre il trattamento a valle, non la scrittura sul dispositivo. Sono due strati: la generazione e lettura dell’identificativo tecnico sul dispositivo ricade sotto l’art. 122 Codice Privacy (art. 5(3) ePrivacy), dove il legittimo interesse non è invocabile — il Garante è testuale: «in nessun caso sarà possibile invocare […] la scriminante del legittimo interesse […] per giustificare il ricorso a […] strumenti di tracciamento». Per quello strato il Titolare invoca l’esenzione del par. 7.2 delle Linee guida del 10 giugno 2021 per gli strumenti analitici di prima parte: elaborazione svolta in proprio, nessun terzo destinatario, identificativo confinato a una sola applicazione, nessuna decisione rivolta al singolo utente. Il trattamento dei dati sui sistemi del Titolare resta invece sul legittimo interesse (art. 6.1.f).

Opposizione possibile in qualsiasi momento scrivendo a info@rditaly.com.

5.6 Difesa in giudizio (art. 6.1.f GDPR)

Per la durata strettamente necessaria.

5.7 Misurazione delle campagne pubblicitarie, comunicazioni di marketing e loro personalizzazione (consenso — art. 6.1.a GDPR e art. 130 Codice Privacy)

Tre finalità distinte e consentibili separatamente. Tutte si basano solo sul consenso e nessuna è necessaria per usare l’App.

(a) Misurazione dell’efficacia delle campagne. Promuoviamo GuideXpress con inserzioni sulle piattaforme di Meta (Facebook e Instagram) e abbiamo bisogno di sapere se portano a installazioni e registrazioni. A questo scopo l’App integra l’SDK di Meta, che — solo dopo il consenso — trasmette i due eventi indicati al par. 4.2.

La misurazione è aggregata: l’attribuzione delle installazioni passa dai meccanismi del sistema operativo (SKAdNetwork su iOS, Meta Install Referrer su Android), che per costruzione non veicolano identificativi pubblicitari. Non raccogliamo l’identificativo pubblicitario (IDFA / Advertising ID), non chiediamo l’autorizzazione al tracciamento (App Tracking Transparency) e non tracciamo fra app diverse. Dettaglio tecnico al par. 12.1.

(b) Comunicazioni informative e promozionali (marketing diretto). Con il tuo consenso possiamo inviarti:

• news e aggiornamenti su nuove funzionalità, città, audio guide, itinerari e contenuti dell’App;
• promozioni, offerte e sconti relativi all’App e ai servizi GuideXpress;
• offerte e convenzioni di partner: esercizi commerciali, strutture ricettive, musei, enti turistici e altri soggetti convenzionati con GuideXpress, comprese le opportunità di convertire punti e timbri in buoni. Queste comunicazioni sono inviate da noi: i tuoi dati non vengono comunicati ai partner;
• questionari, sondaggi di soddisfazione e ricerche di mercato, anche con riconoscimento di punti o altri premi; le risposte servono a migliorare il servizio e sono analizzate in forma aggregata;
• inviti a eventi, tour speciali, lanci e iniziative, anche organizzati insieme a partner;
• concorsi, operazioni a premi, sfide e classifiche promozionali, ciascuno disciplinato da un proprio regolamento;
• richieste di recensione o valutazione dell’App sugli store.

Canali. Email all’indirizzo associato all’account; notifiche push; messaggi in-app (banner, schede, finestre informative) mostrati durante l’uso dell’App. Non effettuiamo chiamate e non inviamo SMS o messaggi su app di messaggistica: questi canali richiederebbero un numero di telefono, che raccogliamo soltanto per il concierge dell’hotel (par. 5.8) e mai per finalità di marketing, e sarebbero attivati solo con un nuovo consenso specifico. Contenuti generici sulle funzionalità dell’App, visibili allo stesso modo a tutti gli utenti e non basati su dati personali, non sono comunicazioni di marketing ai sensi di questo paragrafo.

Misurazione delle comunicazioni. Per sapere se un messaggio è stato consegnato, aperto o cliccato usiamo pixel e link tracciati nelle email e registriamo consegna e apertura di notifiche e messaggi in-app. Serve a valutare l’efficacia degli invii, a regolarne la frequenza e a non inviare messaggi a chi non li legge. Rientra nel consenso (b) e non è usata per costruire profili individuali senza il consenso (c).

(c) Personalizzazione delle comunicazioni (profilazione a fini di marketing). Con un consenso ulteriore e distinto possiamo adattare contenuto, momento e canale delle comunicazioni di cui al punto (b) ai tuoi interessi, ricavati da: città e itinerari scelti o completati, punti di interesse visitati e timbri ottenuti, lingua, preferiti, preferenze espresse, risposte ai questionari, interazione con le comunicazioni e, se li hai forniti, fascia d’età e genere. Non usiamo coordinate GPS, contenuti dei ticket di assistenza né dati ricevuti da Meta. La personalizzazione costituisce profilazione (art. 4.4 GDPR) ma non produce effetti giuridici né incide in modo analogo significativamente sulla tua persona: non è una decisione automatizzata ai sensi dell’art. 22 GDPR. Il consenso (c) presuppone il consenso (b); senza (c), se hai dato (b), ricevi comunicazioni uguali per tutti o selezionate solo in base a lingua e paese.

Come raccogliamo il consenso. È richiesto dopo l’informativa e prima di completare la registrazione, in una schermata dedicata, sia nel percorso email sia in quello social. Gli utenti già registrati sono interpellati una sola volta con la medesima schermata. Chi ha prestato il consenso alle comunicazioni sulla base della versione 2.2 di questa informativa sarà interpellato nuovamente per il perimetro ampliato: fino ad allora riceverà solo comunicazioni rientranti in quanto descritto al momento del consenso. Il consenso è:

• granulare: le tre finalità sono separate e indipendenti;
• non preselezionato: gli interruttori si presentano spenti (considerando 32 GDPR; CGUE C-673/17 Planet49);
• libero: accettare e rifiutare hanno pari evidenza grafica, e il rifiuto non limita le funzionalità dell’App; la partecipazione a questionari, concorsi, classifiche e programmi punti non è subordinata al consenso al marketing;
• dimostrabile (art. 7.1 GDPR): registriamo finalità, esito, versione esatta del testo presentato, occasione, versione dell’App, data e ora. Il testo è conservato in forma versionata e non modificabile retroattivamente.

Revoca (art. 7.3 GDPR). Ciascun consenso è revocabile in qualsiasi momento, con la stessa facilità con cui è stato concesso, da Impostazioni → Privacy e consensi. La revoca della misurazione disattiva subito l’SDK e scarta gli eventi non ancora trasmessi. Per le comunicazioni di marketing puoi anche usare il link di disiscrizione presente in ogni email o disattivare le notifiche promozionali, e puoi limitarti a un solo canale (per esempio continuare a ricevere email ma non notifiche push). La revoca del consenso (b) comporta automaticamente anche quella del consenso (c) e la cancellazione del profilo di personalizzazione. La revoca non pregiudica la liceità degli invii effettuati in precedenza.

Ruolo di Meta: due fasi, due qualificazioni.

• Raccolta nell’App e trasmissione — contitolarità (art. 26 GDPR). Limitatamente alla raccolta dei due eventi e alla loro trasmissione, il Titolare e Meta Platforms Ireland Ltd. sono contitolari. Non è un’interpretazione: i Termini per gli Strumenti business di Meta elencano fra gli strumenti coperti «l’SDK di Facebook per App Events» e le parti «riconoscono e accettano di essere contitolari del trattamento ai sensi dell’articolo 26 del GDPR». L’accordo è costituito da tali Termini e dall’Appendice sul titolare del trattamento.
• Trattamento successivo — titolarità autonoma. Per ciò che Meta fa dei dati dopo averli ricevuti, «Meta Ireland resta un autonomo titolare del trattamento». Non abbiamo controllo su tali trattamenti.
• Essenza dell’accordo di contitolarità (art. 26.2). Il Titolare risponde della base giuridica del proprio trattamento, di questa informativa, della raccolta e gestione del consenso e della configurazione dell’SDK; Meta risponde in via primaria dell’informativa sul proprio trattamento e delle richieste sui dati da essa conservati. Punto di contatto del Titolare: l’indirizzo al par. 2; le richieste che non possiamo evadere sono inoltrate a Meta.

Indipendentemente da questa ripartizione, puoi esercitare i tuoi diritti nei confronti di ciascuno dei due contitolari (art. 26.3): nessuna ripartizione contrattuale ti è opponibile.

Fornitori per le comunicazioni (b) e (c). I questionari sono pubblicati sul nostro sito guidexpress.com e le risposte sono raccolte nei nostri sistemi. Per l’invio delle email e la gestione dei consensi e dei contatti ci avvaliamo di fornitori che agiscono come responsabili del trattamento (art. 28 GDPR), indicati al par. 7, e che non possono usare i tuoi dati per finalità proprie. I dati usati per le comunicazioni non sono mai trasmessi a Meta né ad altre piattaforme pubblicitarie.

5.8 Concierge dell’hotel (art. 6.1.b GDPR)

Che cos’è. Il concierge dell’hotel è una funzionalità facoltativa, introdotta con la versione 2.4.0 dell’App. L’ospite di una struttura ricettiva aderente inquadra con la fotocamera il codice QR della struttura e attiva il concierge digitale per il proprio soggiorno: informazioni sulla struttura (Wi-Fi, orari, servizi, consigli nei dintorni, domande frequenti), prenotazione dei servizi della struttura, notifiche di conferma e di annullamento delle prenotazioni. È usato solo da chi lo attiva: per gli altri utenti non cambia nulla.

Fotocamera. È usata solo per leggere il codice QR della struttura. Nessuna immagine viene salvata o trasmessa.

Dati trattati all’attivazione. La struttura; la data di partenza scelta dall’ospite, al massimo 60 giorni dopo l’attivazione; cognome e numero di cellulare dell’ospite; il periodo del soggiorno (data di attivazione e data di fine). Cognome, numero di cellulare e data di partenza non sono modificabili fino al termine del soggiorno.

Dati trattati per le prenotazioni. Servizio prenotato, giorno e fascia oraria, numero di persone, numero di camera se indicato, note se scritte dall’ospite, oltre a cognome e numero di cellulare.

Collegamento con il totem della struttura. Per riconoscere le prenotazioni che l’ospite effettua dal totem della struttura, il sistema calcola da struttura, numero di cellulare e cognome un’impronta crittografica: un hash con chiave, non reversibile. Il numero di cellulare è usato per questo collegamento.

Finalità e base giuridica. I dati sono trattati per fornire il servizio di concierge richiesto dall’utente (esecuzione del servizio, art. 6.1.b GDPR). Non sono usati per finalità di marketing e non sono comunicati ad altri soggetti per finalità di marketing.

Notifiche del concierge. Le notifiche push di conferma e di annullamento delle prenotazioni sono una categoria a sé, disattivabile dalle impostazioni dell’App (Impostazioni → Notifiche → Notifiche del concierge).

Struttura ricettiva. La struttura aderente riceve cognome, numero di cellulare e i dettagli delle prenotazioni tramite la piattaforma my.guidexpress, gestita da RDITALY, per gestire il soggiorno e i servizi prenotati (par. 7).

Statistiche per le strutture. Le strutture vedono soltanto statistiche aggregate e pseudonimizzate sull’uso del concierge (per esempio sezioni aperte, prenotazioni), mai al di sotto di una soglia di 3 persone o eventi e mai dati individuali.

Conservazione e cancellazione. I tempi di conservazione sono indicati al par. 9; gli effetti della cancellazione dell’account al par. 11.1.

6. Modalità del trattamento e misure di sicurezza

• Cifratura: TLS 1.2+, AES-256 at-rest, bcrypt per password, iOS Keychain / Android Keystore per credenziali sul dispositivo.
• Controllo accessi: Row-Level Security, SECURITY DEFINER per funzioni critiche, max 5 tentativi login.
• Migrazione delle password: i tentativi di migrare la password di un account del precedente sito web GuideXpress sono limitati (numero massimo di tentativi per account e per indirizzo di rete). A questo scopo è conservato per 24 ore un hash dell’indirizzo IP calcolato con un sale giornaliero, mai l’indirizzo in chiaro.
• Pseudonimizzazione: schema analytics separato, UUID non collegato all’account, nessuna tabella di corrispondenza.
• Continuità: backup cifrati (max 30 giorni), segregazione dev/produzione.
• Organizzazione: formazione personale, procedura data breach (72h), DPIA disponibile su richiesta.

7. Destinatari

Categoria	Soggetti	Ruolo
Infrastruttura cloud	Supabase, Inc.	Responsabile (art. 28)
Notifiche push	Google LLC (FCM)	Responsabile
Mappe	Mapbox, Inc.	Responsabile
Login social	Apple, Google, Meta	Titolari autonomi
Misurazione campagne	Meta Platforms Ireland Ltd.	Contitolare (art. 26) per raccolta e trasmissione; titolare autonomo per il trattamento successivo. Solo col consenso (par. 5.7), limitatamente ai due eventi
CRM e invio email di marketing	HighLevel, Inc. (piattaforma GoHighLevel)	Responsabile (art. 28). Solo per chi ha dato il consenso del par. 5.7(b)
Questionari e sondaggi	Sito guidexpress.com, gestito direttamente dal Titolare; fornitore di hosting del sito	Trattamento interno. Il fornitore di hosting agisce come responsabile (art. 28)
Partner convenzionati	Esercizi, strutture ricettive, musei, enti	Nessuna comunicazione di dati per il marketing: le offerte sono inviate dal Titolare. In caso di riscatto di un buono, il partner riceve solo il codice del buono
Concorsi e operazioni a premi	Soggetto delegato, notaio o funzionario camerale, Ministero competente	Responsabile o titolare autonomo, secondo il ruolo previsto dal D.P.R. 430/2001, limitatamente ai partecipanti
Concierge dell’hotel	Struttura ricettiva aderente, tramite la piattaforma my.guidexpress gestita dal Titolare	Riceve cognome, numero di cellulare e prenotazioni dell’ospite, per gestire il soggiorno e i servizi prenotati. Ruolo indicato sotto la tabella. Solo per chi attiva il concierge (par. 5.8)
Ticketing	RDITALY (Perfex CRM)	Interno
Consulenti	Studi legali, commercialisti	Responsabili/titolari
Autorità	Autorità giudiziarie, fiscali	Titolari autonomi

I dati non sono venduti, ceduti o noleggiati a terzi. Unica eccezione, dichiarata con precisione: i due eventi comunicati a Meta ai sensi del par. 5.7, solo in presenza di consenso espresso, che Meta usa come titolare autonomo anche per proprie finalità pubblicitarie. Al di fuori di questo caso non mettiamo dati a disposizione di terzi per marketing, profilazione commerciale, pubblicità mirata o retargeting. I partner convenzionati non ricevono i tuoi dati: le loro offerte ti arrivano da noi. A Meta non vengono in nessun caso comunicati email, nome, posizione o contenuti consultati.

Strutture ricettive aderenti al concierge. Se attivi il concierge dell’hotel (par. 5.8), la struttura presso cui soggiorni riceve, tramite la piattaforma my.guidexpress gestita da RDITALY, il tuo cognome, il tuo numero di cellulare e i dettagli delle prenotazioni, per gestire il soggiorno e i servizi prenotati. La struttura tratta tali dati come titolare autonomo per la gestione del soggiorno e dei servizi prenotati. La struttura non riceve questi dati per finalità di marketing. Sull’uso del concierge le strutture vedono solo statistiche aggregate e pseudonimizzate, mai al di sotto di 3 persone o eventi e mai dati individuali.

8. Trasferimenti extra-SEE

Fornitore	Dati	Garanzia
Google LLC	Token FCM, ID, email, nome	EU-U.S. DPF + SCC
Apple Inc.	ID Apple, email relay, nome	EU-U.S. DPF + SCC
Meta Platforms (login)	ID Facebook, email, nome	EU-U.S. DPF + SCC
Meta Platforms (SDK misurazione)	Identificativo per-installazione dell’SDK, due eventi applicativi, informazioni tecniche di base. Nessun identificativo pubblicitario, nessun dato dell’account, nessuna posizione	La controparte è Meta Platforms Ireland Ltd. (contitolare, par. 5.7); l’eventuale trasferimento verso gli USA è disposto da Meta come titolare autonomo, secondo garanzie verificabili sul registro DPF. Senza consenso l’SDK non registra né trasmette alcun evento applicativo
Supabase, Inc.	Account, preferenze, timbri, avatar, dati del concierge (soggiorno, cognome, telefono), registro di accettazione dell’informativa, stato di lettura delle comunicazioni	SCC + misure supplementari (cifratura in transito e a riposo, pseudonimizzazione, minimizzazione)
Mapbox, Inc.	Coordinate GPS, IP	SCC + misure supplementari
HighLevel, Inc.	Nome, email, lingua, stato dei consensi e delle preferenze, interazione con le comunicazioni, risposte ai questionari, eventuale profilo di personalizzazione (par. 5.7(c))	SCC + misure supplementari (cifratura in transito e a riposo, minimizzazione); EU-U.S. DPF se il fornitore risulta certificato

Copia delle garanzie disponibile su richiesta a info@rditaly.com.

9. Periodo di conservazione

Categoria	Periodo
Dati account	Durata iscrizione (cancellazione immediata su richiesta)
Gamification	Fino a cancellazione account
Token push	Fino a disattivazione o cancellazione
Stato di lettura delle comunicazioni “Novità”	Max 400 giorni; cancellato con l’account
Registro dei consensi (finalità, esito, versione del testo, occasione, versione App, data e ora)	Durata iscrizione; rimosso con l’account. Il testo versionato è conservato separatamente e non è riferibile ad alcun utente
Accettazione dell’informativa e dei termini (data di accettazione dei termini; versione dell’informativa accettata, data e ora, versione App)	Durata iscrizione; cancellata con l’account
Dati trasmessi a Meta (par. 5.7)	Determinata da Meta come titolare autonomo. Non ne conserviamo copia nei nostri sistemi
Dati per le comunicazioni di marketing (par. 5.7(b)): email, preferenze, canali	Fino alla revoca del consenso o alla cancellazione dell’account
Dati di interazione con le comunicazioni (consegna, aperture, clic)	Max 24 mesi dalla rilevazione
Profilo di personalizzazione (par. 5.7(c))	Max 12 mesi dalla raccolta di ciascun dato che lo alimenta; cancellato subito in caso di revoca
Risposte ai questionari	24 mesi, poi conservate solo in forma aggregata e anonima
Dati di partecipazione a concorsi e operazioni a premi	Per il tempo richiesto dalla normativa sulle manifestazioni a premi (D.P.R. 430/2001), poi cancellazione
Coordinate registrate periodicamente durante le sessioni guidate	30 giorni, poi cancellazione automatica
Concierge dell’hotel: dati del soggiorno (cognome, numero di cellulare, impronta crittografica, date)	Cancellazione automatica 90 giorni dopo la fine del soggiorno; immediata in caso di cancellazione dell’account (par. 11.1)
Concierge dell’hotel: registro tecnico delle notifiche di prenotazione ricevute dalla piattaforma della struttura	90 giorni
Concierge dell’hotel: prenotazioni conservate dalla struttura sulla piattaforma my.guidexpress	Anonimizzate 90 giorni dopo la data del servizio
Log tecnici / crash	Max 12 mesi
Hash dell’indirizzo IP per il limite dei tentativi di migrazione della password	24 ore
Analytics pseudonimizzati	Max 24 mesi
Ticket assistenza	24 mesi dalla chiusura
Dati fiscali	10 anni (art. 2220 c.c.)
Difesa in giudizio	Fino a definizione + prescrizione

10. Diritti dell’interessato

• Accesso (art. 15) — conferma e copia dei dati
• Rettifica (art. 16) — correzione dati inesatti
• Cancellazione (art. 17) — diritto all’oblio
• Limitazione (art. 18) — limitazione del trattamento
• Portabilità (art. 20) — dati in formato JSON
• Opposizione (art. 21) — al legittimo interesse; al marketing diretto e alla profilazione a esso connessa, in qualsiasi momento e senza necessità di motivazione (art. 21.2 e 21.3), anche per un solo canale
• Decisioni automatizzate (art. 22) — il Titolare non ne effettua
• Revoca consenso (art. 7.3) — in qualsiasi momento, anche per i consensi del par. 5.7 da Impostazioni → Privacy e consensi o, per le email, dal link di disiscrizione
• Reclamo (art. 77) — al Garante per la protezione dei dati personali o all’autorità di controllo dello Stato UE in cui risiedi, lavori o in cui è avvenuta la presunta violazione

11. Modalità di esercizio dei diritti

• Dall’App: Account → Impostazioni (cancellazione immediata); Impostazioni → Privacy e consensi (revoca dei consensi)
• Dalle email: link di disiscrizione presente in ogni comunicazione di marketing
• Email: info@rditaly.com, oppure direttamente al DPO: dpo@rditaly.com
• Posta: RDITALY S.r.l., Via Lavoratori Vittime del Col du Mont, 21 e 24 — 11100 Aosta (AO)

Riscontro entro 30 giorni (prorogabili di 2 mesi). Esercizio gratuito.

11.1 Cancellazione dell’account

Dall’App (Account → Cancella account): rimozione immediata di profilo, preferiti, timbri, wallet, visite, notifiche, token, avatar, registro dei consensi, preferenze di comunicazione, profilo di personalizzazione e dati locali. I dati presenti presso il fornitore di invio email sono cancellati contestualmente. Dati residui: backup (max 30 gg), analytics pseudonimizzati (non collegabili), dati per obblighi di legge. Gli eventi già trasmessi a Meta sono soggetti alle politiche di Meta come titolare autonomo.

Con l’account sono cancellati anche il registro di accettazione dell’informativa e dei termini e lo stato di lettura delle comunicazioni “Novità”.

Concierge dell’hotel. Il soggiorno attivo è cancellato subito: la piattaforma my.guidexpress ne viene informata e il collegamento fra le prenotazioni e l’account viene rimosso. Le prenotazioni già effettuate restano presso la struttura, con cognome e numero di cellulare, fino alla loro anonimizzazione 90 giorni dopo la data del servizio, perché alla struttura servono per erogare il servizio prenotato.

12. Cookie e tecnologie di tracciamento

L’App non utilizza cookie. Genera un UUID casuale locale per analytics aggregati, non collegato all’account né all’hardware. Conservato max 24 mesi. Rischio re-identificazione valutato nella DPIA. Le email di marketing possono contenere pixel e link tracciati, descritti al par. 5.7(b), usati solo nei messaggi inviati a chi ha prestato il relativo consenso.

12.1 SDK di Meta: cosa fa, cosa non fa, com’è configurato

L’App integra l’SDK di Meta (componente Core, per i soli eventi applicativi). Ne descriviamo la configurazione in modo verificabile, perché la differenza fra una misurazione aggregata e un tracciamento pubblicitario non è visibile all’utente.

L’SDK entra nel dispositivo già inerte. I parametri che ne governano l’attività sono impostati a falso nella configurazione dell’App (FacebookAutoLogAppEventsEnabled e FacebookAdvertiserIDCollectionEnabled su iOS, i corrispondenti attributi nel manifest su Android). Senza questa configurazione l’SDK comincerebbe a trasmettere alla prima apertura, prima che l’utente abbia visto la schermata di consenso. Viene attivato solo dopo un consenso concesso e disattivato immediatamente in caso di revoca.

Pratica	Stato	Come è impedita
Raccolta dell’identificativo pubblicitario	Esclusa	Disattivata a livello di configurazione e reimpostata a falso a ogni allineamento, anche col consenso concesso. Su Android il permesso AD_ID è rimosso dal pacchetto finale
App Tracking Transparency (iOS)	Non richiesta	Il componente relativo non è compilato nell’App: l’informativa di sistema sul tracciamento non compare perché non vi è tracciamento da autorizzare
Tracciamento fra app diverse	Escluso	Conseguenza dei due punti precedenti: senza identificativo condiviso non esiste una chiave per correlare l’utente fra app
Profilazione o pubblicità dentro l’App	Assente	L’App non mostra inserzioni e non riceve da Meta alcun contenuto

Attribuzione delle installazioni. Su iOS tramite SKAdNetwork, meccanismo del sistema operativo che invia il riscontro direttamente al circuito pubblicitario in forma aggregata (l’App dichiara i due identificativi SKAdNetwork di Meta). Su Android tramite Meta Install Referrer, che non usa identificativi pubblicitari.

Permessi aggiuntivi su Android. L’inclusione dell’SDK comporta la dichiarazione di alcuni permessi relativi alle API Privacy Sandbox di Google (ACCESS_ADSERVICES_ATTRIBUTION, ACCESS_ADSERVICES_AD_ID, ACCESS_ADSERVICES_CUSTOM_AUDIENCE, ACCESS_ADSERVICES_TOPICS). Sono dichiarati dalla libreria e visibili a chi esamini il pacchetto. Non utilizziamo le funzionalità di inferenza degli interessi (Topics) né di pubblico personalizzato (Protected Audience): l’unica funzione pertinente è l’attribuzione aggregata.

Verificabilità. Quanto sopra è conseguenza di scelte di configurazione presenti nel pacchetto pubblicato, non di semplici impegni: l’assenza del permesso sull’identificativo pubblicitario e l’assenza del componente di App Tracking Transparency sono ispezionabili sui binari distribuiti dagli store.

13. Personalizzazione, trattamento automatizzato e marketing

Trattamento	Dati	Base giuridica	Profilo?
Homepage per prossimità	GPS corrente	Consenso	No
Ascolto per età	Data nascita	Contratto	No
Ordinamento per città	Città scelta	Contratto	No
Timbri digitali	POI visitati	Contratto	No
Concierge dell’hotel	Struttura, date del soggiorno, cognome, telefono, prenotazioni	Contratto (6.1.b)	No
Analytics	Schermate, eventi	Legittimo interesse	No
Misurazione campagne	Identificativo per-installazione dell’SDK, due eventi	Consenso	No — misurazione aggregata, nessun profilo costruito dal Titolare
Comunicazioni di marketing (par. 5.7(b))	Email, token push, lingua, preferenze, interazione con le comunicazioni	Consenso	No — stesse comunicazioni per tutti, o selezionate per lingua e paese
Personalizzazione delle comunicazioni (par. 5.7(c))	Città e itinerari, POI e timbri, preferiti, preferenze, questionari, interazione, fascia d’età e genere se forniti	Consenso specifico	Sì — profilazione a fini di marketing, senza effetti giuridici né decisioni automatizzate

Nessuna profilazione, nessuna segmentazione, nessun suggerimento personalizzato, salvo la personalizzazione delle comunicazioni di marketing per chi vi acconsente espressamente (par. 5.7(c)).

13.1 Marketing e pubblicità: perimetro esatto

Cosa non facciamo. Non mostriamo inserzioni nell’App. Non usiamo pubblicità mirata né retargeting basati sul comportamento nell’App. Non cediamo dati a terzi per proprie finalità promozionali, salvo l’unica eccezione dichiarata. Non costruiamo profili individuali e non segmentiamo gli utenti senza il consenso specifico del par. 5.7(c).

Cosa facciamo, e con quale consenso. L’App integra l’SDK di Meta per la misurazione aggregata dell’efficacia delle campagne con cui GuideXpress è promossa sulle piattaforme di Meta (par. 5.7 e 12.1), esclusivamente sulla base di un consenso espresso, granulare e revocabile, limitatamente a due eventi. Meta li riceve come titolare autonomo e può usarli anche per proprie finalità pubblicitarie: è la ragione per cui il consenso è richiesto in modo specifico e separato.

Con un consenso distinto (par. 5.7(b)) inviamo comunicazioni di marketing per email, notifica push e messaggi in-app: news, promozioni nostre e offerte dei partner convenzionati (senza comunicare loro i tuoi dati), questionari e ricerche di mercato, inviti a eventi, concorsi e premi. Con un ulteriore consenso (par. 5.7(c)) possiamo adattarle ai tuoi interessi.

Impegno mantenuto. La versione precedente dichiarava che, per introdurre trattamenti di marketing, il Titolare avrebbe richiesto un consenso specifico, libero, informato e granulare prima dell’attivazione. È esattamente quanto è stato fatto. Il medesimo impegno resta valido: qualsiasi ulteriore trattamento per finalità di marketing, e in particolare qualsiasi passaggio a una misurazione basata su identificativi pubblicitari, sarà preceduto da un aggiornamento di questa informativa e da una nuova richiesta di consenso. Rientrano in questo impegno anche l’eventuale caricamento di dati degli utenti su piattaforme pubblicitarie (per esempio elenchi di email per creare pubblici personalizzati), la comunicazione di dati a partner per loro finalità promozionali e l’uso di nuovi canali (telefono, SMS, messaggistica).

14. Conferimento dei dati

Dati obbligatori necessari per l’account. Dati facoltativi (nascita, genere, avatar, GPS, notifiche, consensi del par. 5.7, risposte ai questionari): liberi, il rifiuto limita solo le relative funzionalità — e per i consensi del par. 5.7 non limita nulla. Per il concierge dell’hotel (par. 5.8) cognome e numero di cellulare sono necessari per attivarlo; chi non li fornisce non può usare il concierge, ma tutte le altre funzionalità dell’App restano disponibili.

15. Modifiche all’informativa

Non sostanziali: pubblicate direttamente. Sostanziali: 30 giorni di preavviso + nuovo consenso se necessario. La prosecuzione d’uso non vale come consenso tacito.

Ogni nuova versione dell’informativa è presentata nell’App, che chiede all’utente di leggerla e accettarla prima di proseguire. La versione accettata è registrata con data, ora e versione dell’App (par. 4.1 e 9).

L’introduzione della misurazione delle campagne (par. 5.7) costituisce una modifica sostanziale: per questa ragione è subordinata a un consenso espresso e preventivo, raccolto nell’App prima che qualsiasi dato venga trasmesso. Nessun trattamento nuovo ha luogo per chi non acconsente.

Anche l’ampliamento delle comunicazioni di marketing e l’introduzione della loro personalizzazione (par. 5.7(b) e (c), versione 2.3) costituiscono una modifica sostanziale: si applicano solo a chi presta, o rinnova, il relativo consenso dopo aver visionato questa versione. L’accettazione dell’informativa, da sola, non vale come consenso al marketing.

16. Foro competente e legge applicabile

Legge italiana e GDPR. Foro del consumatore o Foro di Aosta.