Privacy Policy

Politique de confidentialité — GuideXpress

La présente politique est fournie conformément aux articles 13 et 14 du Règlement (UE) 2016/679 (« RGPD ») et au décret législatif italien n° 196 du 30 juin 2003, tel que modifié par le décret législatif n° 101 du 10 août 2018 (« Code italien de la protection des données »), aux utilisateurs de l’application mobile GuideXpress et des services associés. Nous vous recommandons d’en prendre connaissance avant de créer un compte, d’activer la géolocalisation ou d’utiliser les fonctionnalités de l’Application.

1. Responsable du traitement

Le responsable du traitement est :

RDITALY S.r.l.
Siège social : Via Lavoratori Vittime del Col du Mont, 21 et 24 — 11100 Aoste (AO), Italie
E-mail confidentialité : info@rditaly.com
E-mail général : info@rditaly.com

Toute référence à « nous », « le Responsable » ou « la Société » dans la présente politique s’entend de RDITALY S.r.l.

2. Délégué à la protection des données (DPO)

Le Responsable a désigné volontairement un délégué à la protection des données conformément à l’article 37 du RGPD :

Valerio Falcicchio
E-mail : dpo@rditaly.com

Cette adresse est dédiée et confidentielle au DPO : l’article 38, paragraphe 5, du RGPD le soumet au secret, et une boîte générique de l’entreprise exposerait les communications de la personne concernée à du personnel non autorisé.

La personne concernée peut s’adresser au DPO pour toute question relative au traitement de ses données personnelles et à l’exercice de ses droits au titre du RGPD.

3. Champ d’application

La présente politique s’applique :

• à l’application mobile GuideXpress (Apple App Store et Google Play Store) ;
• au site web guidexpress.com et à ses sous-domaines ;
• au portail policy.guidexpress.com ;
• à la plateforme my.guidexpress, uniquement pour la réception des réservations effectuées par les clients via le concierge de l’hôtel ;
• aux services accessoires (audioguides géolocalisés, gamification, notifications push, exploration géolocalisée, concierge de l’hôtel, communications de marketing, questionnaires, concours et initiatives promotionnelles).

Elle ne s’applique pas aux sites ou services tiers accessibles depuis l’Application.

4. Catégories de données personnelles traitées

4.1 Données fournies volontairement par l’utilisateur

Inscription par e-mail/mot de passe :

• nom et prénom ;
• adresse e-mail ;
• mot de passe (conservé sous forme de hachage à sens unique) ;
• facultatifs : date de naissance et genre.

Connexion sociale (Apple, Google, Facebook) : identifiant du fournisseur, e-mail, nom affiché.

Pendant l’utilisation : avatar, préférences système, favoris, itinéraires, avis, demandes d’assistance, réponses aux questionnaires et aux sondages, données de participation aux concours et aux initiatives promotionnelles, préférences en matière de communications (types de contenu et canaux choisis).

Concierge de l’hôtel (uniquement s’il est activé, par. 5.8) : établissement d’hébergement, date de départ choisie par le client (au maximum 60 jours après l’activation), nom de famille, numéro de téléphone portable et période du séjour (date d’activation et date de fin) ; pour chaque réservation, service réservé, jour et créneau horaire, nombre de personnes et, le cas échéant, numéro de chambre et remarques. À partir de l’établissement, du numéro de téléphone portable et du nom de famille, une empreinte cryptographique non réversible est calculée (par. 5.8). Le code QR de l’établissement est lu au moyen de l’appareil photo de l’appareil : aucune image n’est enregistrée ni transmise.

Acceptation de la politique et des conditions : date à laquelle le compte a accepté les conditions du service ; version de la présente politique acceptée, avec la date, l’heure et la version de l’Application (par. 15).

4.2 Données collectées automatiquement

Géolocalisation : coordonnées GPS en temps réel et en arrière-plan (uniquement avec l’autorisation de l’utilisateur).

Appareil et utilisation : UUID pseudonyme, modèle d’appareil, système d’exploitation, version de l’Application, langue, jeton FCM, interactions avec l’Application, rapports de plantage.

Gamification : points d’intérêt visités, tampons obtenus, transactions du portefeuille, achèvement des circuits.

Communications « Nouveautés » : quelles communications de GuideXpress l’utilisateur a lues, dans le seul but d’afficher correctement l’indicateur des messages non lus sur tous ses appareils. Cette donnée est conservée jusqu’à 400 jours et supprimée avec le compte.

Via le SDK de Meta (uniquement avec le consentement visé au par. 5.7) : un identifiant propre à cette installation, généré par le SDK (ce n’est pas l’identifiant publicitaire de l’appareil, il n’est pas partagé entre applications différentes et il est régénéré à la réinstallation) ; deux événements applicatifs seulement — ouverture de l’Application et inscription menée à terme, ce dernier sans aucun paramètre ; informations techniques de base (type d’appareil, système d’exploitation, version de l’Application, pays). Ne sont pas transmis à Meta votre e-mail, votre nom, votre position GPS ni les contenus consultés.

Interaction avec les communications de marketing (uniquement avec le consentement visé au par. 5.7(b)) : remise, ouverture et clics sur les e-mails, les notifications push et les messages dans l’Application, détectés notamment au moyen de pixels et de liens traçables dans les e-mails ; date, heure et appareil de l’interaction ; historique des consentements et des désinscriptions.

4.3 Données reçues de tiers

En cas de connexion sociale, uniquement les données indiquées au par. 4.1, selon les réglages de confidentialité de votre compte chez le fournisseur. Si vous utilisez le concierge de l’hôtel, nous recevons de la plateforme de l’établissement (my.guidexpress) la confirmation ou l’annulation des réservations, y compris celles effectuées sur la borne de l’établissement et rattachées à vous au moyen de l’empreinte décrite au par. 5.8.

4.4 Catégories particulières de données

Le Responsable ne demande ni ne traite de catégories particulières de données (article 9 du RGPD). Les questionnaires ne contiennent aucune question portant sur ces catégories.

4.5 Données relatives aux mineurs

L’Application est destinée aux utilisateurs âgés de 16 ans ou plus. Le mode d’écoute pour enfants ne peut être activé que manuellement par l’adulte titulaire du compte. Dans ce cas, aucune donnée concernant l’enfant n’est collectée.

Si le Responsable venait à avoir connaissance de données relatives à des mineurs de moins de 16 ans sans autorisation parentale, il procéderait à leur suppression immédiate.

5. Finalités du traitement et bases légales

5.1 Fourniture du Service (article 6.1.b du RGPD)

Compte, fonctionnalités de l’Application, audioguides, favoris, gamification, assistance technique.

5.2 Géolocalisation (consentement — article 6.1.a du RGPD)

Le consentement est recueilli à deux niveaux : autorisation du système d’exploitation et information dans l’Application.

Finalité	Type	Données collectées
Contenus à proximité	Essentiel	Coordonnées GPS en mémoire (non conservées)
Audioguides automatiques	Essentiel	Coordonnées GPS en mémoire (non conservées)
Enregistrement des visites de points d’intérêt pour les tampons	Essentiel	L’événement de visite (pas les coordonnées)
Navigation cartographique	Essentiel	Coordonnées transmises à Mapbox
Position enregistrée toutes les 30 secondes pendant une session guidée active (statistiques)	Amélioration	Coordonnées à pleine précision, y compris avec l’Application en arrière-plan et l’écran éteint, associées à l’identifiant d’appareil et non au compte. Conservées 30 jours. Désactivable dans Réglages → Confidentialité et consentements
Position lors des événements audio (statistiques)	Amélioration	Coordonnées pseudonymisées, 24 mois maximum

La coordonnée et le fait de la visite sont deux choses différentes. Les coordonnées sont traitées sur la seule base du consentement. L’enregistrement du fait qu’un point d’intérêt a été visité (identifiant et horodatage, sans coordonnées), qui alimente les scores et les tampons, est traité pour l’exécution du service (article 6.1.b) et demeure conservé même si vous retirez votre consentement à la géolocalisation. Les coordonnées GPS ne sont jamais utilisées à des fins de marketing ni pour la personnalisation des communications.

Le retrait est possible à tout moment depuis les réglages de l’appareil.

5.3 Notifications push (consentement — article 6.1.a du RGPD)

Tampons, concierge (confirmations et annulations des réservations), notification affichée pendant le suivi GPS actif, communications d’information et promotionnelles. Chaque catégorie peut être désactivée indépendamment. Les notifications et les messages dans l’Application à caractère promotionnel nécessitent à la fois l’autorisation du système d’exploitation et le consentement aux communications de marketing visé au par. 5.7(b) : la seule autorisation des notifications ne vaut pas consentement au marketing.

5.4 Obligations légales (article 6.1.c du RGPD)

Obligations fiscales et comptables et demandes des autorités.

5.5 Intérêt légitime (article 6.1.f du RGPD)

Sécurité, diagnostics, statistiques pseudonymisées. Les coordonnées GPS ne sont jamais traitées sur la base de l’intérêt légitime — ni les coordonnées périodiques ni celles des événements audio : toutes reposent sur le consentement (par. 5.2). Les données statistiques traitées sur cette base ne sont pas partagées avec Meta ni avec aucun autre fournisseur publicitaire. L’intérêt légitime n’est jamais utilisé comme base pour l’envoi de communications de marketing, pas même sous la forme prévue à l’article 130, paragraphe 4, du Code italien de la protection des données (dite « soft spam ») : toutes les communications promotionnelles reposent uniquement sur le consentement visé au par. 5.7(b).

L’intérêt légitime couvre le traitement en aval, non l’écriture sur l’appareil. Il s’agit de deux couches : la génération et la lecture de l’identifiant technique sur l’appareil relèvent de l’article 122 du Code italien de la protection des données (article 5, paragraphe 3, de la directive vie privée et communications électroniques), où l’intérêt légitime ne peut être invoqué — l’autorité italienne est explicite : « en aucun cas il ne sera possible d’invoquer […] l’intérêt légitime du responsable pour justifier le recours à […] des outils de traçage » (notre traduction). Pour cette couche, le Responsable se fonde sur l’exemption prévue au paragraphe 7.2 des Lignes directrices de l’autorité italienne du 10 juin 2021 pour les outils statistiques de première partie : traitement statistique réalisé en interne, aucun destinataire tiers, identifiant confiné à une seule application, aucune décision visant un utilisateur individuel. Le traitement des données sur les systèmes du Responsable demeure fondé sur l’intérêt légitime (article 6.1.f).

Vous pouvez vous y opposer à tout moment en écrivant à info@rditaly.com.

5.6 Défense d’un droit en justice (article 6.1.f du RGPD)

Pour la durée strictement nécessaire.

5.7 Mesure des campagnes publicitaires, communications de marketing et leur personnalisation (consentement — article 6.1.a du RGPD et article 130 du Code italien de la protection des données)

Trois finalités distinctes, auxquelles vous pouvez consentir séparément. Toutes reposent uniquement sur le consentement et aucune n’est nécessaire pour utiliser l’Application.

(a) Mesure de l’efficacité des campagnes. Nous faisons la promotion de GuideXpress au moyen de publicités sur les plateformes de Meta (Facebook et Instagram) et nous avons besoin de savoir si elles conduisent effectivement à des installations et à des inscriptions. À cette fin, l’Application intègre le SDK de Meta qui, uniquement après le consentement, transmet les deux événements indiqués au par. 4.2.

La mesure est agrégée : l’attribution des installations passe par les mécanismes du système d’exploitation (SKAdNetwork sur iOS, Meta Install Referrer sur Android), qui par conception ne véhiculent aucun identifiant publicitaire. Nous ne collectons pas l’identifiant publicitaire (IDFA / Advertising ID), nous ne demandons pas l’autorisation de suivi (App Tracking Transparency) et nous ne suivons pas les utilisateurs d’une application à l’autre. Détail technique au par. 12.1.

(b) Communications d’information et promotionnelles (marketing direct). Avec votre consentement, nous pouvons vous envoyer :

• des actualités et des mises à jour sur les nouvelles fonctionnalités, villes, audioguides, itinéraires et contenus de l’Application ;
• des promotions, des offres et des réductions relatives à l’Application et aux services GuideXpress ;
• des offres et des conventions de partenaires : commerces, établissements d’hébergement, musées, organismes touristiques et autres entités ayant conclu une convention avec GuideXpress, y compris les possibilités de convertir des points et des tampons en bons. Ces communications sont envoyées par nous : vos données ne sont pas communiquées aux partenaires ;
• des questionnaires, des enquêtes de satisfaction et des études de marché, y compris avec attribution de points ou d’autres récompenses ; les réponses servent à améliorer le service et sont analysées sous forme agrégée ;
• des invitations à des événements, à des circuits spéciaux, à des lancements et à des initiatives, y compris organisés avec des partenaires ;
• des concours, des opérations à primes, des défis et des classements promotionnels, chacun régi par son propre règlement ;
• des demandes d’avis ou d’évaluation de l’Application sur les magasins d’applications.

Canaux. E-mail à l’adresse associée au compte ; notifications push ; messages dans l’Application (bannières, fiches, fenêtres d’information) affichés pendant l’utilisation de l’Application. Nous n’effectuons pas d’appels et n’envoyons ni SMS ni messages sur des applications de messagerie : ces canaux nécessiteraient un numéro de téléphone, que nous ne collectons que pour le concierge de l’hôtel (par. 5.8) et jamais à des fins de marketing, et ne seraient activés qu’avec un nouveau consentement spécifique. Les contenus génériques sur les fonctionnalités de l’Application, visibles de la même manière par tous les utilisateurs et non fondés sur des données personnelles, ne constituent pas des communications de marketing au sens du présent paragraphe.

Mesure des communications. Pour savoir si un message a été remis, ouvert ou cliqué, nous utilisons des pixels et des liens traçables dans les e-mails et nous enregistrons la remise et l’ouverture des notifications et des messages dans l’Application. Cela sert à évaluer l’efficacité des envois, à en régler la fréquence et à ne pas envoyer de messages à ceux qui ne les lisent pas. Cette mesure relève du consentement (b) et n’est pas utilisée pour construire des profils individuels sans le consentement (c).

(c) Personnalisation des communications (profilage à des fins de marketing). Avec un consentement supplémentaire et distinct, nous pouvons adapter le contenu, le moment et le canal des communications visées au point (b) à vos centres d’intérêt, déduits des éléments suivants : villes et itinéraires choisis ou terminés, points d’intérêt visités et tampons obtenus, langue, favoris, préférences exprimées, réponses aux questionnaires, interaction avec les communications et, si vous les avez fournis, tranche d’âge et genre. Nous n’utilisons ni les coordonnées GPS, ni le contenu des demandes d’assistance, ni les données reçues de Meta. La personnalisation constitue un profilage (article 4.4 du RGPD) mais ne produit pas d’effets juridiques et ne vous affecte pas de manière significative de façon similaire : il ne s’agit pas d’une décision automatisée au sens de l’article 22 du RGPD. Le consentement (c) suppose le consentement (b) ; sans (c), si vous avez donné (b), vous recevez des communications identiques pour tous ou sélectionnées uniquement en fonction de la langue et du pays.

Comment nous recueillons le consentement. Il est demandé après la politique de confidentialité et avant la finalisation de l’inscription, sur un écran dédié, tant dans le parcours par e-mail que dans le parcours par connexion sociale. Les utilisateurs déjà inscrits sont sollicités une seule fois, sur le même écran. Les personnes ayant donné leur consentement aux communications sur la base de la version 2.2 de la présente politique seront de nouveau sollicitées pour le périmètre élargi : d’ici là, elles ne recevront que des communications relevant de ce qui était décrit au moment du consentement. Le consentement est :

• granulaire : les trois finalités sont séparées et indépendantes ;
• non présélectionné : les interrupteurs sont présentés désactivés (considérant 32 du RGPD ; CJUE C-673/17 Planet49) ;
• libre : accepter et refuser ont le même poids visuel, et le refus ne limite pas les fonctionnalités de l’Application ; la participation aux questionnaires, concours, classements et programmes de points n’est pas subordonnée au consentement au marketing ;
• démontrable (article 7.1 du RGPD) : nous enregistrons la finalité, la décision, la version exacte du texte présenté, l’occasion, la version de l’Application, ainsi que la date et l’heure. Le texte est conservé sous forme versionnée et ne peut être modifié rétroactivement.

Retrait (article 7.3 du RGPD). Chaque consentement peut être retiré à tout moment, aussi facilement qu’il a été donné, depuis Réglages → Confidentialité et consentements. Le retrait du consentement à la mesure désactive immédiatement le SDK et écarte les événements non encore transmis. Pour les communications de marketing, vous pouvez également utiliser le lien de désinscription présent dans chaque e-mail ou désactiver les notifications promotionnelles, et vous pouvez vous limiter à un seul canal (par exemple continuer à recevoir des e-mails mais pas de notifications push). Le retrait du consentement (b) entraîne automatiquement celui du consentement (c) et la suppression du profil de personnalisation. Le retrait n’affecte pas la licéité des envois effectués auparavant.

Le rôle de Meta : deux phases, deux qualifications.

• Collecte dans l’Application et transmission — responsabilité conjointe (article 26 du RGPD). Pour la seule collecte des deux événements et leur transmission, le Responsable et Meta Platforms Ireland Ltd. agissent en tant que responsables conjoints. Il ne s’agit pas d’une interprétation : les Conditions relatives aux outils professionnels de Meta citent parmi les outils couverts « le SDK Facebook pour les événements d’application » et les parties « reconnaissent et acceptent d’être responsables conjoints du traitement au sens de l’article 26 du RGPD ». L’accord est constitué de ces Conditions et de l’Avenant relatif au responsable du traitement.
• Traitement ultérieur — responsabilité autonome. Pour ce que Meta fait des données après les avoir reçues, « Meta Ireland demeure un responsable du traitement autonome ». Nous n’avons aucun contrôle sur ces traitements.
• Essentiel de l’accord de responsabilité conjointe (article 26.2). Le Responsable répond de la base légale de son propre traitement, de la présente politique, du recueil et de la gestion du consentement et de la configuration du SDK ; Meta répond à titre principal de l’information relative à son propre traitement et des demandes portant sur les données qu’elle conserve. Point de contact du Responsable : l’adresse indiquée au par. 2 ; les demandes que nous ne pouvons pas traiter sont transmises à Meta.

Indépendamment de cette répartition, vous pouvez exercer vos droits à l’égard de chacun des deux responsables conjoints (article 26.3) : aucune répartition contractuelle ne vous est opposable.

Fournisseurs pour les communications (b) et (c). Les questionnaires sont publiés sur notre site guidexpress.com et les réponses sont recueillies dans nos systèmes. Pour l’envoi des e-mails et la gestion des consentements et des contacts, nous faisons appel à des fournisseurs qui agissent en tant que sous-traitants (article 28 du RGPD), indiqués au par. 7, et qui ne peuvent pas utiliser vos données à leurs propres fins. Les données utilisées pour les communications ne sont jamais transmises à Meta ni à d’autres plateformes publicitaires.

5.8 Concierge de l’hôtel (article 6.1.b du RGPD)

De quoi s’agit-il ? Le concierge de l’hôtel est une fonctionnalité facultative, introduite avec la version 2.4.0 de l’Application. Le client d’un établissement d’hébergement adhérent scanne avec l’appareil photo le code QR de l’établissement et active le concierge numérique pour son séjour : informations sur l’établissement (Wi-Fi, horaires, services, conseils sur les environs, questions fréquentes), réservation des services de l’établissement, notifications de confirmation et d’annulation des réservations. Il n’est utilisé que par ceux qui l’activent : pour les autres utilisateurs, rien ne change.

Appareil photo. Il est utilisé uniquement pour lire le code QR de l’établissement. Aucune image n’est enregistrée ni transmise.

Données traitées lors de l’activation. L’établissement ; la date de départ choisie par le client, au maximum 60 jours après l’activation ; le nom de famille et le numéro de téléphone portable du client ; la période du séjour (date d’activation et date de fin). Le nom de famille, le numéro de téléphone portable et la date de départ ne peuvent pas être modifiés avant la fin du séjour.

Données traitées pour les réservations. Service réservé, jour et créneau horaire, nombre de personnes, numéro de chambre s’il est indiqué, remarques si le client en a saisi, ainsi que le nom de famille et le numéro de téléphone portable.

Lien avec la borne de l’établissement. Pour reconnaître les réservations que le client effectue depuis la borne de l’établissement, le système calcule, à partir de l’établissement, du numéro de téléphone portable et du nom de famille, une empreinte cryptographique : un hachage à clé, non réversible. Le numéro de téléphone portable est utilisé pour ce rattachement.

Finalité et base légale. Les données sont traitées pour fournir le service de concierge demandé par l’utilisateur (exécution du service, article 6.1.b du RGPD). Elles ne sont pas utilisées à des fins de marketing et ne sont pas communiquées à d’autres entités à des fins de marketing.

Notifications du concierge. Les notifications push de confirmation et d’annulation des réservations constituent une catégorie à part, qui peut être désactivée dans les réglages de l’Application (Réglages → Notifications → Notifications du concierge).

Établissement d’hébergement. L’établissement adhérent reçoit le nom de famille, le numéro de téléphone portable et les détails des réservations via la plateforme my.guidexpress, gérée par RDITALY, afin de gérer le séjour et les services réservés (par. 7).

Statistiques pour les établissements. Les établissements ne voient que des statistiques agrégées et pseudonymisées sur l’utilisation du concierge (par exemple sections ouvertes, réservations), jamais en dessous d’un seuil de 3 personnes ou événements, et jamais de données individuelles.

Conservation et suppression. Les durées de conservation sont indiquées au par. 9 ; les effets de la suppression du compte, au par. 11.1.

6. Modalités du traitement et mesures de sécurité

• Chiffrement : TLS 1.2+, AES-256 au repos, bcrypt pour les mots de passe, iOS Keychain / Android Keystore pour les identifiants sur l’appareil.
• Contrôle des accès : Row-Level Security, SECURITY DEFINER pour les fonctions critiques, 5 tentatives de connexion maximum.
• Migration des mots de passe : les tentatives de migration du mot de passe d’un compte de l’ancien site web GuideXpress sont limitées (nombre maximal de tentatives par compte et par adresse réseau). À cette fin, un hachage de l’adresse IP calculé avec un sel quotidien est conservé pendant 24 heures, jamais l’adresse en clair.
• Pseudonymisation : schéma statistique séparé, UUID non relié au compte, aucune table de correspondance.
• Continuité : sauvegardes chiffrées (30 jours maximum), séparation développement/production.
• Organisation : formation du personnel, procédure de violation de données (72 h), AIPD disponible sur demande.

7. Destinataires

Catégorie	Entités	Rôle
Infrastructure cloud	Supabase, Inc.	Sous-traitant (article 28)
Notifications push	Google LLC (FCM)	Sous-traitant
Cartographie	Mapbox, Inc.	Sous-traitant
Connexion sociale	Apple, Google, Meta	Responsables autonomes
Mesure des campagnes	Meta Platforms Ireland Ltd.	Responsable conjoint (article 26) pour la collecte et la transmission ; responsable autonome pour le traitement ultérieur. Uniquement avec consentement (par. 5.7), limité aux deux événements
CRM et envoi des e-mails de marketing	HighLevel, Inc. (plateforme GoHighLevel)	Sous-traitant (article 28). Uniquement pour les personnes ayant donné le consentement visé au par. 5.7(b)
Questionnaires et sondages	Site guidexpress.com, géré directement par le Responsable ; fournisseur d’hébergement du site	Traitement interne. Le fournisseur d’hébergement agit en tant que sous-traitant (article 28)
Partenaires conventionnés	Commerces, établissements d’hébergement, musées, organismes	Aucune communication de données à des fins de marketing : les offres sont envoyées par le Responsable. En cas d’utilisation d’un bon, le partenaire ne reçoit que le code du bon
Concours et opérations à primes	Délégué de l’organisateur, notaire ou fonctionnaire de la chambre de commerce, ministère compétent	Sous-traitant ou responsable autonome, selon le rôle prévu par le décret présidentiel italien (D.P.R.) n° 430/2001, uniquement pour les participants
Concierge de l’hôtel	Établissement d’hébergement adhérent, via la plateforme my.guidexpress gérée par le Responsable	Reçoit le nom de famille, le numéro de téléphone portable et les réservations du client, afin de gérer le séjour et les services réservés. Rôle indiqué sous le tableau. Uniquement pour les personnes qui activent le concierge (par. 5.8)
Assistance	RDITALY (Perfex CRM)	Interne
Conseils professionnels	Cabinets d’avocats, experts-comptables	Sous-traitants/responsables
Autorités publiques	Autorités judiciaires et fiscales	Responsables autonomes

Les données ne sont ni vendues, ni cédées, ni louées à des tiers. Unique exception, déclarée avec précision : les deux événements communiqués à Meta au titre du par. 5.7, uniquement en présence d’un consentement exprès, que Meta utilise en tant que responsable autonome, y compris à ses propres fins publicitaires. En dehors de ce cas, nous ne mettons aucune donnée à la disposition de tiers à des fins de marketing, de profilage commercial, de publicité ciblée ou de reciblage. Les partenaires conventionnés ne reçoivent pas vos données : leurs offres vous parviennent par notre intermédiaire. En aucun cas votre e-mail, votre nom, votre position ou les contenus consultés ne sont communiqués à Meta.

Établissements d’hébergement adhérant au concierge. Si vous activez le concierge de l’hôtel (par. 5.8), l’établissement dans lequel vous séjournez reçoit, via la plateforme my.guidexpress gérée par RDITALY, votre nom de famille, votre numéro de téléphone portable et les détails des réservations, afin de gérer le séjour et les services réservés. L’établissement traite ces données en tant que responsable autonome pour la gestion du séjour et des services réservés. L’établissement ne reçoit pas ces données à des fins de marketing. S’agissant de l’utilisation du concierge, les établissements ne voient que des statistiques agrégées et pseudonymisées, jamais en dessous de 3 personnes ou événements, et jamais de données individuelles.

8. Transferts hors EEE

Fournisseur	Données	Garantie
Google LLC	Jeton FCM, identifiant, e-mail, nom	EU-U.S. DPF + CCT
Apple Inc.	Identifiant Apple, e-mail relais, nom	EU-U.S. DPF + CCT
Meta Platforms (connexion)	Identifiant Facebook, e-mail, nom	EU-U.S. DPF + CCT
Meta Platforms (SDK de mesure)	Identifiant propre à l’installation généré par le SDK, deux événements applicatifs, informations techniques de base. Aucun identifiant publicitaire, aucune donnée de compte, aucune position	Notre contrepartie est Meta Platforms Ireland Ltd. (responsable conjoint, par. 5.7) ; tout transfert ultérieur vers les États-Unis est organisé par Meta en tant que responsable autonome, selon des garanties vérifiables sur le registre DPF. Sans consentement, le SDK n’enregistre ni ne transmet aucun événement applicatif
Supabase, Inc.	Compte, préférences, tampons, avatar, données du concierge (séjour, nom de famille, téléphone), registre d’acceptation de la politique, état de lecture des communications	CCT + mesures supplémentaires (chiffrement en transit et au repos, pseudonymisation, minimisation)
Mapbox, Inc.	Coordonnées GPS, adresse IP	CCT + mesures supplémentaires
HighLevel, Inc.	Nom, e-mail, langue, état des consentements et des préférences, interaction avec les communications, réponses aux questionnaires, éventuel profil de personnalisation (par. 5.7(c))	CCT + mesures supplémentaires (chiffrement en transit et au repos, minimisation) ; EU-U.S. DPF si le fournisseur est certifié

Une copie des garanties est disponible sur demande à info@rditaly.com.

9. Durées de conservation

Catégorie	Durée
Données du compte	Pendant toute la durée de l’inscription (suppression immédiate sur demande)
Gamification	Jusqu’à la suppression du compte
Jetons de notification	Jusqu’à la désactivation des notifications ou la suppression du compte
État de lecture des communications « Nouveautés »	400 jours maximum ; supprimé avec le compte
Registre des consentements (finalité, décision, version du texte, occasion, version de l’Application, date et heure)	Pendant la durée de l’inscription ; supprimé avec le compte. Le texte versionné est conservé séparément et ne peut être rattaché à aucun utilisateur
Acceptation de la politique et des conditions (date d’acceptation des conditions ; version de la politique acceptée, date et heure, version de l’Application)	Pendant la durée de l’inscription ; supprimée avec le compte
Données transmises à Meta (par. 5.7)	Déterminée par Meta en tant que responsable autonome. Nous n’en conservons aucune copie dans nos systèmes
Données utilisées pour les communications de marketing (par. 5.7(b)) : e-mail, préférences, canaux	Jusqu’au retrait du consentement ou à la suppression du compte
Données d’interaction avec les communications (remise, ouvertures, clics)	24 mois maximum à compter de leur collecte
Profil de personnalisation (par. 5.7(c))	12 mois maximum à compter de la collecte de chaque donnée qui l’alimente ; supprimé immédiatement en cas de retrait
Réponses aux questionnaires	24 mois, puis conservées uniquement sous forme agrégée et anonyme
Données de participation aux concours et opérations à primes	Pendant la durée requise par la réglementation sur les manifestations à primes (D.P.R. 430/2001), puis suppression
Coordonnées enregistrées périodiquement pendant les sessions guidées	30 jours, puis suppression automatique
Concierge de l’hôtel : données du séjour (nom de famille, numéro de téléphone portable, empreinte cryptographique, dates)	Suppression automatique 90 jours après la fin du séjour ; immédiate en cas de suppression du compte (par. 11.1)
Concierge de l’hôtel : journal technique des notifications de réservation reçues de la plateforme de l’établissement	90 jours
Concierge de l’hôtel : réservations conservées par l’établissement sur la plateforme my.guidexpress	Anonymisées 90 jours après la date du service
Journaux techniques / plantages	12 mois maximum
Hachage de l’adresse IP pour la limitation des tentatives de migration du mot de passe	24 heures
Statistiques pseudonymisées	24 mois maximum
Demandes d’assistance	24 mois à compter de la clôture
Données comptables et fiscales	10 ans (article 2220 du Code civil italien)
Défense en justice	Jusqu’à l’issue de la procédure, majorée du délai de prescription applicable

10. Vos droits

• Accès (article 15) — confirmation et copie de vos données
• Rectification (article 16) — correction des données inexactes
• Effacement (article 17) — droit à l’oubli
• Limitation (article 18) — limitation du traitement
• Portabilité (article 20) — données au format JSON
• Opposition (article 21) — à l’intérêt légitime ; au marketing direct et au profilage qui y est lié, à tout moment et sans avoir à motiver votre demande (article 21.2 et 21.3), y compris pour un seul canal
• Décision automatisée (article 22) — le Responsable n’en prend aucune
• Retrait du consentement (article 7.3) — à tout moment, y compris pour les consentements du par. 5.7, depuis Réglages → Confidentialité et consentements ou, pour les e-mails, via le lien de désinscription
• Réclamation (article 77) — auprès de l’autorité italienne de protection des données ou auprès de l’autorité de contrôle de l’État membre de l’UE où vous résidez, où vous travaillez ou dans lequel la violation alléguée a eu lieu (en France, la CNIL)

11. Comment exercer vos droits

• Depuis l’Application : Compte → Réglages (suppression immédiate) ; Réglages → Confidentialité et consentements (retrait des consentements)
• Depuis les e-mails : lien de désinscription présent dans chaque communication de marketing
• E-mail : info@rditaly.com, ou directement au DPO : dpo@rditaly.com
• Courrier : RDITALY S.r.l., Via Lavoratori Vittime del Col du Mont, 21 et 24 — 11100 Aoste (AO), Italie

Nous répondons sous 30 jours (prorogeables de 2 mois). L’exercice de vos droits est gratuit.

11.1 Suppression du compte

Depuis l’Application (Compte → Supprimer le compte) : suppression immédiate du profil, des favoris, des tampons, du portefeuille, des visites, des notifications, des jetons, de l’avatar, du registre des consentements, des préférences de communication, du profil de personnalisation et des données locales. Les données détenues par le fournisseur d’envoi des e-mails sont supprimées simultanément. Données résiduelles : sauvegardes (30 jours maximum), statistiques pseudonymisées (non rattachables), données soumises à des obligations légales de conservation. Les événements déjà transmis à Meta relèvent des politiques de Meta en tant que responsable autonome.

Sont également supprimés avec le compte le registre d’acceptation de la politique et des conditions ainsi que l’état de lecture des communications « Nouveautés ».

Concierge de l’hôtel. Le séjour actif est supprimé immédiatement : la plateforme my.guidexpress en est informée et le lien entre les réservations et le compte est supprimé. Les réservations déjà effectuées restent auprès de l’établissement, avec le nom de famille et le numéro de téléphone portable, jusqu’à leur anonymisation 90 jours après la date du service, car l’établissement en a besoin pour fournir le service réservé.

12. Cookies et technologies de traçage

L’Application n’utilise pas de cookies. Elle génère un UUID aléatoire local à des fins de statistiques agrégées, relié ni à votre compte ni au matériel. Conservé 24 mois au maximum. Le risque de ré-identification a été évalué dans l’AIPD. Les e-mails de marketing peuvent contenir des pixels et des liens traçables, décrits au par. 5.7(b), utilisés uniquement dans les messages envoyés aux personnes ayant donné le consentement correspondant.

12.1 Le SDK de Meta : ce qu’il fait, ce qu’il ne fait pas, comment il est configuré

L’Application intègre le SDK de Meta (composant Core, pour les seuls événements applicatifs). Nous en décrivons la configuration de manière vérifiable, car la différence entre une mesure agrégée et un traçage publicitaire n’est pas visible pour l’utilisateur.

Le SDK arrive sur l’appareil déjà inerte. Les paramètres qui régissent son activité sont réglés sur faux dans la configuration de l’Application (FacebookAutoLogAppEventsEnabled et FacebookAdvertiserIDCollectionEnabled sur iOS, les attributs correspondants dans le manifeste sur Android). Sans cette configuration, le SDK commencerait à transmettre dès la toute première ouverture, avant que l’utilisateur ait vu l’écran de consentement. Il n’est activé qu’après l’octroi du consentement et désactivé immédiatement en cas de retrait.

Pratique	État	Comment elle est empêchée
Collecte de l’identifiant publicitaire	Exclue	Désactivée au niveau de la configuration et remise sur faux à chaque alignement, même lorsque le consentement a été donné. Sur Android, l’autorisation AD_ID est supprimée du paquet final
App Tracking Transparency (iOS)	Non demandée	Le composant correspondant n’est pas compilé dans l’Application : la demande système relative au suivi n’apparaît pas, car il n’y a aucun suivi à autoriser
Suivi entre applications différentes	Exclu	Conséquence des deux points précédents : sans identifiant partagé, il n’existe aucune clé permettant de corréler l’utilisateur d’une application à l’autre
Profilage ou publicité dans l’Application	Absent	L’Application n’affiche aucune publicité et ne reçoit aucun contenu de Meta

Attribution des installations. Sur iOS par SKAdNetwork, mécanisme du système d’exploitation qui envoie le compte rendu directement à la régie publicitaire sous forme agrégée (l’Application déclare les deux identifiants SKAdNetwork de Meta). Sur Android par le Meta Install Referrer, qui n’utilise aucun identifiant publicitaire.

Autorisations supplémentaires sur Android. L’inclusion du SDK entraîne la déclaration de certaines autorisations relatives aux API Privacy Sandbox de Google (ACCESS_ADSERVICES_ATTRIBUTION, ACCESS_ADSERVICES_AD_ID, ACCESS_ADSERVICES_CUSTOM_AUDIENCE, ACCESS_ADSERVICES_TOPICS). Elles sont déclarées par la bibliothèque et visibles de quiconque examine le paquet. Nous n’utilisons pas les fonctionnalités d’inférence des centres d’intérêt (Topics) ni d’audience personnalisée (Protected Audience) : la seule fonction pertinente est l’attribution agrégée.

Vérifiabilité. Ce qui précède découle de choix de configuration présents dans le paquet publié, et non de simples engagements : l’absence de l’autorisation relative à l’identifiant publicitaire et l’absence du composant App Tracking Transparency peuvent être vérifiées sur les binaires distribués par les magasins d’applications.

13. Personnalisation, traitement automatisé et marketing

Traitement	Données	Base légale	Profil ?
Page d’accueil selon la proximité	GPS actuel	Consentement	Non
Écoute adaptée à l’âge	Date de naissance	Contrat	Non
Tri des contenus par ville choisie	Ville sélectionnée	Contrat	Non
Tampons numériques	Points d’intérêt visités	Contrat	Non
Concierge de l’hôtel	Établissement, dates du séjour, nom de famille, téléphone, réservations	Contrat (6.1.b)	Non
Statistiques	Écrans, événements	Intérêt légitime	Non
Mesure des campagnes	Identifiant d’installation du SDK, deux événements	Consentement	Non — mesure agrégée, aucun profil construit par le Responsable
Communications de marketing (par. 5.7(b))	E-mail, jeton push, langue, préférences, interaction avec les communications	Consentement	Non — mêmes communications pour tous, ou sélectionnées selon la langue et le pays
Personnalisation des communications (par. 5.7(c))	Villes et itinéraires, points d’intérêt et tampons, favoris, préférences, questionnaires, interaction, tranche d’âge et genre s’ils sont fournis	Consentement spécifique	Oui — profilage à des fins de marketing, sans effets juridiques ni décisions automatisées

Aucun profilage, aucune segmentation, aucune suggestion personnalisée, sauf la personnalisation des communications de marketing pour les personnes qui y consentent expressément (par. 5.7(c)).

13.1 Marketing et publicité : le périmètre exact

Ce que nous ne faisons pas. Nous n’affichons aucune publicité dans l’Application. Nous n’utilisons ni publicité ciblée ni reciblage fondés sur votre comportement dans l’Application. Nous ne cédons pas de données à des tiers pour leurs propres finalités promotionnelles, hormis l’unique exception déclarée. Nous ne construisons aucun profil individuel et nous ne segmentons pas les utilisateurs sans le consentement spécifique visé au par. 5.7(c).

Ce que nous faisons, et sur quel consentement. L’Application intègre le SDK de Meta pour la mesure agrégée de l’efficacité des campagnes par lesquelles GuideXpress est promue sur les plateformes de Meta (par. 5.7 et 12.1), exclusivement sur la base d’un consentement exprès, granulaire et révocable, limité à deux événements. Meta les reçoit en tant que responsable autonome et peut également les utiliser à ses propres fins publicitaires : c’est la raison pour laquelle le consentement est demandé de manière spécifique et distincte.

Avec un consentement distinct (par. 5.7(b)), nous envoyons des communications de marketing par e-mail, notification push et messages dans l’Application : actualités, nos promotions et les offres des partenaires conventionnés (sans leur communiquer vos données), questionnaires et études de marché, invitations à des événements, concours et prix. Avec un consentement supplémentaire (par. 5.7(c)), nous pouvons les adapter à vos centres d’intérêt.

Engagement tenu. La version précédente indiquait que, pour introduire des traitements à des fins de marketing, le Responsable demanderait un consentement spécifique, libre, éclairé et granulaire avant toute activation. C’est exactement ce qui a été fait. Le même engagement demeure : tout traitement supplémentaire à des fins de marketing, et en particulier tout passage à une mesure fondée sur des identifiants publicitaires, sera précédé d’une mise à jour de la présente politique et d’une nouvelle demande de consentement. Relèvent également de cet engagement l’éventuel téléversement de données des utilisateurs sur des plateformes publicitaires (par exemple des listes d’e-mails pour créer des audiences personnalisées), la communication de données à des partenaires pour leurs propres finalités promotionnelles et l’utilisation de nouveaux canaux (téléphone, SMS, messagerie).

14. Caractère obligatoire ou facultatif de la fourniture des données

Les données obligatoires sont nécessaires au compte. Les données facultatives (date de naissance, genre, avatar, GPS, notifications, consentements du par. 5.7, réponses aux questionnaires) sont libres ; le refus ne limite que les fonctionnalités correspondantes — et pour les consentements du par. 5.7, il ne limite rien du tout. Pour le concierge de l’hôtel (par. 5.8), le nom de famille et le numéro de téléphone portable sont nécessaires à son activation ; qui ne les fournit pas ne peut pas utiliser le concierge, mais toutes les autres fonctionnalités de l’Application restent disponibles.

15. Modifications de la présente politique

Modifications non substantielles : publiées directement. Modifications substantielles : préavis de 30 jours et nouveau consentement si nécessaire. La poursuite de l’utilisation ne vaut pas consentement tacite.

Chaque nouvelle version de la politique est présentée dans l’Application, qui demande à l’utilisateur de la lire et de l’accepter avant de continuer. La version acceptée est enregistrée avec la date, l’heure et la version de l’Application (par. 4.1 et 9).

L’introduction de la mesure des campagnes (par. 5.7) constitue une modification substantielle : c’est la raison pour laquelle elle est subordonnée à un consentement exprès et préalable, recueilli dans l’Application avant que la moindre donnée ne soit transmise. Aucun traitement nouveau n’a lieu pour qui n’y consent pas.

L’élargissement des communications de marketing et l’introduction de leur personnalisation (par. 5.7(b) et (c), version 2.3) constituent également une modification substantielle : ils ne s’appliquent qu’aux personnes qui donnent, ou renouvellent, le consentement correspondant après avoir pris connaissance de la présente version. L’acceptation de la politique ne vaut pas, à elle seule, consentement au marketing.

16. Droit applicable et juridiction compétente

Droit italien et RGPD. Juridiction du consommateur ou tribunal d’Aoste.