Privacy Policy

Politique de confidentialité — GuideXpress

La présente politique est fournie conformément aux articles 13 et 14 du Règlement (UE) 2016/679 (« RGPD ») et au décret législatif italien n° 196 du 30 juin 2003, tel que modifié par le décret législatif n° 101 du 10 août 2018 (« Code italien de la protection des données »), aux utilisateurs de l’application mobile GuideXpress et des services associés. Nous vous recommandons d’en prendre connaissance avant de créer un compte, d’activer la géolocalisation ou d’utiliser les fonctionnalités de l’Application.

1. Responsable du traitement

Le responsable du traitement est :

RDITALY S.r.l.
Siège social : Via Lavoratori Vittime del Col du Mont, 21 et 24 — 11100 Aoste (AO), Italie
E-mail confidentialité : info@rditaly.com
E-mail général : info@rditaly.com

Toute référence à « nous », « le Responsable » ou « la Société » dans la présente politique s’entend de RDITALY S.r.l.

2. Délégué à la protection des données (DPO)

Le Responsable a désigné volontairement un délégué à la protection des données conformément à l’article 37 du RGPD :

Valerio Falcicchio
E-mail : dpo@rditaly.com

Cette adresse est dédiée et confidentielle au DPO : l’article 38, paragraphe 5, du RGPD le soumet au secret, et une boîte générique de l’entreprise exposerait les communications de la personne concernée à du personnel non autorisé.

La personne concernée peut s’adresser au DPO pour toute question relative au traitement de ses données personnelles et à l’exercice de ses droits au titre du RGPD.

3. Champ d’application

La présente politique s’applique :

• à l’application mobile GuideXpress (Apple App Store et Google Play Store) ;
• au site web guidexpress.com et à ses sous-domaines ;
• au portail policy.guidexpress.com ;
• aux services accessoires (audioguides géolocalisés, gamification, notifications push, exploration géolocalisée).

Elle ne s’applique pas aux sites ou services tiers accessibles depuis l’Application.

4. Catégories de données personnelles traitées

4.1 Données fournies volontairement par l’utilisateur

Inscription par e-mail/mot de passe :

• nom et prénom ;
• adresse e-mail ;
• mot de passe (conservé sous forme de hachage à sens unique) ;
• facultatifs : date de naissance et genre.

Connexion sociale (Apple, Google, Facebook) : identifiant du fournisseur, e-mail, nom affiché.

Pendant l’utilisation : avatar, préférences système, favoris, itinéraires, avis, demandes d’assistance.

4.2 Données collectées automatiquement

Géolocalisation : coordonnées GPS en temps réel et en arrière-plan (uniquement avec l’autorisation de l’utilisateur).

Appareil et utilisation : UUID pseudonyme, modèle d’appareil, système d’exploitation, version de l’Application, langue, jeton FCM, interactions avec l’Application, rapports de plantage.

Gamification : points d’intérêt visités, tampons obtenus, transactions du portefeuille, achèvement des circuits.

Via le SDK de Meta (uniquement avec le consentement visé au par. 5.7) : un identifiant propre à cette installation, généré par le SDK (ce n’est pas l’identifiant publicitaire de l’appareil, il n’est pas partagé entre applications différentes et il est régénéré à la réinstallation) ; deux événements applicatifs seulement — ouverture de l’Application et inscription menée à terme, ce dernier sans aucun paramètre ; informations techniques de base (type d’appareil, système d’exploitation, version de l’Application, pays). Ne sont pas transmis à Meta votre e-mail, votre nom, votre position GPS ni les contenus consultés.

4.3 Données reçues de tiers

En cas de connexion sociale, uniquement les données indiquées au par. 4.1, selon les réglages de confidentialité de votre compte chez le fournisseur.

4.4 Catégories particulières de données

Le Responsable ne demande ni ne traite de catégories particulières de données (article 9 du RGPD).

4.5 Données relatives aux mineurs

L’Application est destinée aux utilisateurs âgés de 16 ans ou plus. Le mode d’écoute pour enfants ne peut être activé que manuellement par l’adulte titulaire du compte. Dans ce cas, aucune donnée concernant l’enfant n’est collectée.

Si le Responsable venait à avoir connaissance de données relatives à des mineurs de moins de 16 ans sans autorisation parentale, il procéderait à leur suppression immédiate.

5. Finalités du traitement et bases légales

5.1 Fourniture du Service (article 6.1.b du RGPD)

Compte, fonctionnalités de l’Application, audioguides, favoris, gamification, assistance technique.

5.2 Géolocalisation (consentement — article 6.1.a du RGPD)

Le consentement est recueilli à deux niveaux : autorisation du système d’exploitation et information dans l’Application.

Finalité	Type	Données collectées
Contenus à proximité	Essentiel	Coordonnées GPS en mémoire (non conservées)
Audioguides automatiques	Essentiel	Coordonnées GPS en mémoire (non conservées)
Enregistrement des visites de points d’intérêt pour les tampons	Essentiel	L’événement de visite (pas les coordonnées)
Navigation cartographique	Essentiel	Coordonnées transmises à Mapbox
Position enregistrée toutes les 30 secondes pendant une session guidée active (statistiques)	Amélioration	Coordonnées à pleine précision, y compris avec l’Application en arrière-plan et l’écran éteint, associées à l’identifiant d’appareil et non au compte. Conservées 30 jours. Désactivable dans Réglages → Confidentialité et consentements
Position lors des événements audio (statistiques)	Amélioration	Coordonnées pseudonymisées, 24 mois maximum

La coordonnée et le fait de la visite sont deux choses différentes. Les coordonnées sont traitées sur la seule base du consentement. L’enregistrement du fait qu’un point d’intérêt a été visité (identifiant et horodatage, sans coordonnées), qui alimente les scores et les tampons, est traité pour l’exécution du service (article 6.1.b) et demeure conservé même si vous retirez votre consentement à la géolocalisation.

Le retrait est possible à tout moment depuis les réglages de l’appareil.

5.3 Notifications push (consentement — article 6.1.a du RGPD)

Tampons, avis sur les circuits, communications d’information. Chaque catégorie peut être désactivée indépendamment.

5.4 Obligations légales (article 6.1.c du RGPD)

Obligations fiscales et comptables et demandes des autorités.

5.5 Intérêt légitime (article 6.1.f du RGPD)

Sécurité, diagnostics, statistiques pseudonymisées. Les coordonnées GPS ne sont jamais traitées sur la base de l’intérêt légitime — ni les coordonnées périodiques ni celles des événements audio : toutes reposent sur le consentement (par. 5.2). Les données statistiques traitées sur cette base ne sont pas partagées avec Meta ni avec aucun autre fournisseur publicitaire.

L’intérêt légitime couvre le traitement en aval, non l’écriture sur l’appareil. Il s’agit de deux couches : la génération et la lecture de l’identifiant technique sur l’appareil relèvent de l’article 122 du Code italien de la protection des données (article 5, paragraphe 3, de la directive vie privée et communications électroniques), où l’intérêt légitime ne peut être invoqué — l’autorité italienne est explicite : « en aucun cas il ne sera possible d’invoquer […] l’intérêt légitime du responsable pour justifier le recours à […] des outils de traçage » (notre traduction). Pour cette couche, le Responsable se fonde sur l’exemption prévue au paragraphe 7.2 des Lignes directrices de l’autorité italienne du 10 juin 2021 pour les outils statistiques de première partie : traitement statistique réalisé en interne, aucun destinataire tiers, identifiant confiné à une seule application, aucune décision visant un utilisateur individuel. Le traitement des données sur les systèmes du Responsable demeure fondé sur l’intérêt légitime (article 6.1.f).

Vous pouvez vous y opposer à tout moment en écrivant à info@rditaly.com.

5.6 Défense d’un droit en justice (article 6.1.f du RGPD)

Pour la durée strictement nécessaire.

5.7 Mesure des campagnes publicitaires et communications (consentement — article 6.1.a du RGPD)

Deux finalités distinctes, auxquelles vous pouvez consentir séparément. Toutes deux reposent uniquement sur le consentement et aucune n’est nécessaire pour utiliser l’Application.

(a) Mesure de l’efficacité des campagnes. Nous faisons la promotion de GuideXpress au moyen de publicités sur les plateformes de Meta (Facebook et Instagram) et nous avons besoin de savoir si elles conduisent effectivement à des installations et à des inscriptions. À cette fin, l’Application intègre le SDK de Meta qui, uniquement après le consentement, transmet les deux événements indiqués au par. 4.2.

La mesure est agrégée : l’attribution des installations passe par les mécanismes du système d’exploitation (SKAdNetwork sur iOS, Meta Install Referrer sur Android), qui par conception ne véhiculent aucun identifiant publicitaire. Nous ne collectons pas l’identifiant publicitaire (IDFA / Advertising ID), nous ne demandons pas l’autorisation de suivi (App Tracking Transparency) et nous ne suivons pas les utilisateurs d’une application à l’autre. Détail technique au par. 12.1.

(b) Communications d’information et promotionnelles. Consentement à recevoir des actualités sur les nouvelles fonctionnalités, les contenus et les initiatives. À la date de la présente politique, aucun canal d’envoi n’est actif et aucune communication n’est envoyée : le consentement est uniquement enregistré.

Comment nous recueillons le consentement. Il est demandé après la politique de confidentialité et avant la finalisation de l’inscription, sur un écran dédié, tant dans le parcours par e-mail que dans le parcours par connexion sociale. Les utilisateurs déjà inscrits sont sollicités une seule fois, sur le même écran. Le consentement est :

• granulaire : les deux finalités sont séparées et indépendantes ;
• non présélectionné : les interrupteurs sont présentés désactivés (considérant 32 du RGPD ; CJUE C-673/17 Planet49) ;
• libre : accepter et refuser ont le même poids visuel, et le refus ne limite pas les fonctionnalités de l’Application ;
• démontrable (article 7.1 du RGPD) : nous enregistrons la finalité, la décision, la version exacte du texte présenté, l’occasion, la version de l’Application, ainsi que la date et l’heure. Le texte est conservé sous forme versionnée et ne peut être modifié rétroactivement.

Retrait (article 7.3 du RGPD). Chaque consentement peut être retiré à tout moment, aussi facilement qu’il a été donné, depuis Réglages → Confidentialité et consentements. Le retrait du consentement à la mesure désactive immédiatement le SDK et écarte les événements non encore transmis.

Le rôle de Meta : deux phases, deux qualifications.

• Collecte dans l’Application et transmission — responsabilité conjointe (article 26 du RGPD). Pour la seule collecte des deux événements et leur transmission, le Responsable et Meta Platforms Ireland Ltd. agissent en tant que responsables conjoints. Il ne s’agit pas d’une interprétation : les Conditions relatives aux outils professionnels de Meta citent parmi les outils couverts « le SDK Facebook pour les événements d’application » et les parties « reconnaissent et acceptent d’être responsables conjoints du traitement au sens de l’article 26 du RGPD ». L’accord est constitué de ces Conditions et de l’Avenant relatif au responsable du traitement.
• Traitement ultérieur — responsabilité autonome. Pour ce que Meta fait des données après les avoir reçues, « Meta Ireland demeure un responsable du traitement autonome ». Nous n’avons aucun contrôle sur ces traitements.

Essentiel de l’accord de responsabilité conjointe (article 26.2). Le Responsable répond de la base légale de son propre traitement, de la présente politique, du recueil et de la gestion du consentement et de la configuration du SDK ; Meta répond à titre principal de l’information relative à son propre traitement et des demandes portant sur les données qu’elle conserve. Point de contact du Responsable : l’adresse indiquée au par. 2 ; les demandes que nous ne pouvons pas traiter sont transmises à Meta.

Indépendamment de cette répartition, vous pouvez exercer vos droits à l’égard de chacun des deux responsables conjoints (article 26.3) : aucune répartition contractuelle ne vous est opposable.

6. Modalités du traitement et mesures de sécurité

• Chiffrement : TLS 1.2+, AES-256 au repos, bcrypt pour les mots de passe, iOS Keychain / Android Keystore pour les identifiants sur l’appareil.
• Contrôle des accès : Row-Level Security, SECURITY DEFINER pour les fonctions critiques, 5 tentatives de connexion maximum.
• Pseudonymisation : schéma statistique séparé, UUID non relié au compte, aucune table de correspondance.
• Continuité : sauvegardes chiffrées (30 jours maximum), séparation développement/production.
• Organisation : formation du personnel, procédure de violation de données (72 h), AIPD disponible sur demande.

7. Destinataires

Catégorie	Entités	Rôle
Infrastructure cloud	Supabase, Inc.	Sous-traitant (article 28)
Notifications push	Google LLC (FCM)	Sous-traitant
Cartographie	Mapbox, Inc.	Sous-traitant
Connexion sociale	Apple, Google, Meta	Responsables autonomes
Mesure des campagnes	Meta Platforms Ireland Ltd.	Responsable conjoint (article 26) pour la collecte et la transmission ; responsable autonome pour le traitement ultérieur. Uniquement avec consentement (par. 5.7), limité aux deux événements
Assistance	RDITALY (Perfex CRM)	Interne
Conseils professionnels	Cabinets d’avocats, experts-comptables	Sous-traitants/responsables
Autorités publiques	Autorités judiciaires et fiscales	Responsables autonomes

Les données ne sont ni vendues, ni cédées, ni louées à des tiers. Unique exception, déclarée avec précision : les deux événements communiqués à Meta au titre du par. 5.7, uniquement en présence d’un consentement exprès, que Meta utilise en tant que responsable autonome, y compris à ses propres fins publicitaires. En dehors de ce cas, nous ne mettons aucune donnée à la disposition de tiers à des fins de marketing, de profilage commercial, de publicité ciblée ou de reciblage. En aucun cas votre e-mail, votre nom, votre position ou les contenus consultés ne sont communiqués à Meta.

8. Transferts hors EEE

Fournisseur	Données	Garantie
Google LLC	Jeton FCM, identifiant, e-mail, nom	EU-U.S. DPF + CCT
Apple Inc.	Identifiant Apple, e-mail relais, nom	EU-U.S. DPF + CCT
Meta Platforms (connexion)	Identifiant Facebook, e-mail, nom	EU-U.S. DPF + CCT
Meta Platforms (SDK de mesure)	Identifiant propre à l’installation généré par le SDK, deux événements applicatifs, informations techniques de base. Aucun identifiant publicitaire, aucune donnée de compte, aucune position	Notre contrepartie est Meta Platforms Ireland Ltd. (responsable conjoint, par. 5.7) ; tout transfert ultérieur vers les États-Unis est organisé par Meta en tant que responsable autonome, selon des garanties vérifiables sur le registre DPF. Sans consentement, le SDK n’enregistre ni ne transmet aucun événement applicatif
Supabase, Inc.	Compte, préférences, tampons, avatar	CCT + mesures supplémentaires (chiffrement en transit et au repos, pseudonymisation, minimisation)
Mapbox, Inc.	Coordonnées GPS, adresse IP	CCT + mesures supplémentaires

Une copie des garanties est disponible sur demande à info@rditaly.com.

9. Durées de conservation

Catégorie	Durée
Données du compte	Pendant toute la durée de l’inscription (suppression immédiate sur demande)
Gamification	Jusqu’à la suppression du compte
Jetons de notification	Jusqu’à la désactivation des notifications ou la suppression du compte
Registre des consentements (finalité, décision, version du texte, occasion, version de l’Application, date et heure)	Pendant la durée de l’inscription ; supprimé avec le compte. Le texte versionné est conservé séparément et ne peut être rattaché à aucun utilisateur
Données transmises à Meta (par. 5.7)	Déterminée par Meta en tant que responsable autonome. Nous n’en conservons aucune copie dans nos systèmes
Coordonnées enregistrées périodiquement pendant les sessions guidées	30 jours, puis suppression automatique
Journaux techniques / plantages	12 mois maximum
Statistiques pseudonymisées	24 mois maximum
Demandes d’assistance	24 mois à compter de la clôture
Données comptables et fiscales	10 ans (article 2220 du Code civil italien)
Défense en justice	Jusqu’à l’issue de la procédure, majorée du délai de prescription applicable

10. Vos droits

• Accès (article 15) — confirmation et copie de vos données
• Rectification (article 16) — correction des données inexactes
• Effacement (article 17) — droit à l’oubli
• Limitation (article 18) — limitation du traitement
• Portabilité (article 20) — données au format JSON
• Opposition (article 21) — à l’intérêt légitime
• Décision automatisée (article 22) — le Responsable n’en prend aucune
• Retrait du consentement (article 7.3) — à tout moment, y compris pour les consentements du par. 5.7, depuis Réglages → Confidentialité et consentements
• Réclamation (article 77) — auprès de l’autorité italienne de protection des données ou auprès de l’autorité de contrôle de l’État membre de l’UE où vous résidez, où vous travaillez ou dans lequel la violation alléguée a eu lieu (en France, la CNIL)

11. Comment exercer vos droits

• Depuis l’Application : Compte → Réglages (suppression immédiate) ; Réglages → Confidentialité et consentements (retrait des consentements)
• E-mail : info@rditaly.com, ou directement au DPO : dpo@rditaly.com
• Courrier : RDITALY S.r.l., Via Lavoratori Vittime del Col du Mont, 21 et 24 — 11100 Aoste (AO), Italie

Nous répondons sous 30 jours (prorogeables de 2 mois). L’exercice de vos droits est gratuit.

11.1 Suppression du compte

Depuis l’Application (Compte → Supprimer le compte) : suppression immédiate du profil, des favoris, des tampons, du portefeuille, des visites, des notifications, des jetons, de l’avatar, du registre des consentements et des données locales. Données résiduelles : sauvegardes (30 jours maximum), statistiques pseudonymisées (non rattachables), données soumises à des obligations légales de conservation. Les événements déjà transmis à Meta relèvent des politiques de Meta en tant que responsable autonome.

12. Cookies et technologies de traçage

L’Application n’utilise pas de cookies. Elle génère un UUID aléatoire local à des fins de statistiques agrégées, relié ni à votre compte ni au matériel. Conservé 24 mois au maximum. Le risque de ré-identification a été évalué dans l’AIPD.

12.1 Le SDK de Meta : ce qu’il fait, ce qu’il ne fait pas, comment il est configuré

L’Application intègre le SDK de Meta (composant Core, pour les seuls événements applicatifs). Nous en décrivons la configuration de manière vérifiable, car la différence entre une mesure agrégée et un traçage publicitaire n’est pas visible pour l’utilisateur.

Le SDK arrive sur l’appareil déjà inerte. Les paramètres qui régissent son activité sont réglés sur faux dans la configuration de l’Application (FacebookAutoLogAppEventsEnabled et FacebookAdvertiserIDCollectionEnabled sur iOS, les attributs correspondants dans le manifeste sur Android). Sans cette configuration, le SDK commencerait à transmettre dès la toute première ouverture, avant que l’utilisateur ait vu l’écran de consentement. Il n’est activé qu’après l’octroi du consentement et désactivé immédiatement en cas de retrait.

Pratique	État	Comment elle est empêchée
Collecte de l’identifiant publicitaire	Exclue	Désactivée au niveau de la configuration et remise sur faux à chaque alignement, même lorsque le consentement a été donné. Sur Android, l’autorisation AD_ID est supprimée du paquet final
App Tracking Transparency (iOS)	Non demandée	Le composant correspondant n’est pas compilé dans l’Application : la demande système relative au suivi n’apparaît pas, car il n’y a aucun suivi à autoriser
Suivi entre applications différentes	Exclu	Conséquence des deux points précédents : sans identifiant partagé, il n’existe aucune clé permettant de corréler l’utilisateur d’une application à l’autre
Profilage ou publicité dans l’Application	Absent	L’Application n’affiche aucune publicité et ne reçoit aucun contenu de Meta

Attribution des installations. Sur iOS par SKAdNetwork, mécanisme du système d’exploitation qui envoie le compte rendu directement à la régie publicitaire sous forme agrégée (l’Application déclare les deux identifiants SKAdNetwork de Meta). Sur Android par le Meta Install Referrer, qui n’utilise aucun identifiant publicitaire.

Autorisations supplémentaires sur Android. L’inclusion du SDK entraîne la déclaration de certaines autorisations relatives aux API Privacy Sandbox de Google (ACCESS_ADSERVICES_ATTRIBUTION, ACCESS_ADSERVICES_AD_ID, ACCESS_ADSERVICES_CUSTOM_AUDIENCE, ACCESS_ADSERVICES_TOPICS). Elles sont déclarées par la bibliothèque et visibles de quiconque examine le paquet. Nous n’utilisons pas les fonctionnalités d’inférence des centres d’intérêt (Topics) ni d’audience personnalisée (Protected Audience) : la seule fonction pertinente est l’attribution agrégée.

Vérifiabilité. Ce qui précède découle de choix de configuration présents dans le paquet publié, et non de simples engagements : l’absence de l’autorisation relative à l’identifiant publicitaire et l’absence du composant App Tracking Transparency peuvent être vérifiées sur les binaires distribués par les magasins d’applications.

13. Personnalisation, traitement automatisé et marketing

Traitement	Données	Base légale	Profil ?
Page d’accueil selon la proximité	GPS actuel	Consentement	Non
Écoute adaptée à l’âge	Date de naissance	Contrat	Non
Tri des contenus par ville choisie	Ville sélectionnée	Contrat	Non
Tampons numériques	Points d’intérêt visités	Contrat	Non
Statistiques	Écrans, événements	Intérêt légitime	Non
Mesure des campagnes	Identifiant d’installation du SDK, deux événements	Consentement	Non — mesure agrégée, aucun profil construit par le Responsable

Aucun profilage, aucune segmentation, aucune suggestion personnalisée.

13.1 Marketing et publicité : le périmètre exact

Ce que nous ne faisons pas. Nous n’affichons aucune publicité dans l’Application. Nous n’utilisons ni publicité ciblée ni reciblage fondés sur votre comportement dans l’Application. Nous ne cédons pas de données à des tiers pour leurs propres finalités promotionnelles, hormis l’unique exception déclarée. Nous ne construisons aucun profil individuel et nous ne segmentons pas les utilisateurs.

Ce que nous faisons, et sur quel consentement. L’Application intègre le SDK de Meta pour la mesure agrégée de l’efficacité des campagnes par lesquelles GuideXpress est promue sur les plateformes de Meta (par. 5.7 et 12.1), exclusivement sur la base d’un consentement exprès, granulaire et révocable, limité à deux événements. Meta les reçoit en tant que responsable autonome et peut également les utiliser à ses propres fins publicitaires : c’est la raison pour laquelle le consentement est demandé de manière spécifique et distincte.

Un consentement distinct a par ailleurs été prévu pour l’envoi de communications d’information et promotionnelles. À la date de la présente politique, aucun canal n’est actif et aucune communication n’est envoyée.

Engagement tenu. La version précédente indiquait que, pour introduire des traitements à des fins de marketing, le Responsable demanderait un consentement spécifique, libre, éclairé et granulaire avant toute activation. C’est exactement ce qui a été fait. Le même engagement demeure : tout traitement supplémentaire à des fins de marketing, et en particulier tout passage à une mesure fondée sur des identifiants publicitaires, sera précédé d’une mise à jour de la présente politique et d’une nouvelle demande de consentement.

14. Caractère obligatoire ou facultatif de la fourniture des données

Les données obligatoires sont nécessaires au compte. Les données facultatives (date de naissance, genre, avatar, GPS, notifications, consentements du par. 5.7) sont libres ; le refus ne limite que les fonctionnalités correspondantes — et pour les consentements du par. 5.7, il ne limite rien du tout.

15. Modifications de la présente politique

Modifications non substantielles : publiées directement. Modifications substantielles : préavis de 30 jours et nouveau consentement si nécessaire. La poursuite de l’utilisation ne vaut pas consentement tacite.

L’introduction de la mesure des campagnes (par. 5.7) constitue une modification substantielle : c’est la raison pour laquelle elle est subordonnée à un consentement exprès et préalable, recueilli dans l’Application avant que la moindre donnée ne soit transmise. Aucun traitement nouveau n’a lieu pour qui n’y consent pas.

16. Droit applicable et juridiction compétente

Droit italien et RGPD. Juridiction du consommateur ou tribunal d’Aoste.