Informativa privacy per i partecipanti

Titolare del trattamento

Il titolare del trattamento è [Titolare: nome o ragione sociale], con sede in [indirizzo], [codice fiscale o partita IVA]. Puoi scriverci a [email di contatto].

[Responsabile della protezione dei dati (DPO), se nominato: nome e contatti]

Ogni vetrina ha i suoi amministratori, che vedono i dati delle attività della propria vetrina (vedi «Chi vede i tuoi dati»). [Ruolo degli amministratori delle vetrine (persone autorizzate, responsabili o contitolari del trattamento): da definire con il legale]

Quali dati trattiamo

• Account: l'email, la password (conservata solo in forma cifrata non reversibile), le date di registrazione e di conferma dell'email, la versione dei termini di pubblicazione che hai accettato e la data dell'accettazione, i tentativi di accesso sbagliati e gli eventuali blocchi temporanei.
• Sessioni e link: le sessioni di accesso e i link per confermare l'email o reimpostare la password, conservati solo in forma cifrata non reversibile.
• Scheda: nome dell'attività, descrizioni, servizi offerti, categorie, logo e foto, contatti (telefono, WhatsApp, email, sito web, profili social), indirizzo, punto sulla mappa e orari; la bozza e la versione pubblicata, l'esito delle revisioni con il motivo di un rifiuto, l'eventuale sospensione con il suo motivo, gli indirizzi della scheda attuali e passati.
• Immagini: i file che carichi, convertiti in formato WebP in tre dimensioni e senza metadati, compresa la posizione GPS. Il file originale viene cancellato dopo la conversione.
• Adesioni: per ogni vetrina, lo stato della richiesta o dell'adesione, il piano, l'eventuale peso impostato a mano, la posizione nella griglia, il motivo di un rifiuto o di una sospensione, le date e chi ha deciso.
• Registro delle decisioni: chi ha approvato, respinto, sospeso o riattivato la scheda o le adesioni, chi ha corretto la bozza in revisione, chi ha cambiato piano, peso, ordine della griglia o indirizzo della scheda, quando e con quali valori prima e dopo (per una correzione, il testo dei campi corretti prima e dopo); anche le richieste che ritiri, le vetrine che lasci e le copie dei dati scaricate. Ogni voce indica la tua attività con il suo nome pubblico.
• Statistiche sulla tua attività: quante volte compare nella fascia in evidenza, quante volte vengono aperti la scheda e il biglietto da visita, quante volte vengono toccati i pulsanti di contatto, per tipo, giorno, vetrina, totem e provenienza. Non contengono dati sui visitatori.
• Email: i messaggi di servizio che ti inviamo (vedi «Fornitori»).
• Cookie: dopo l'accesso all'area riservata usiamo un solo cookie tecnico, «vb_refresh», che ti mantiene collegato. Dura 30 giorni dall'ultimo utilizzo dell'area riservata e viene cancellato quando esci. Non usiamo cookie di profilazione.
• Indirizzo IP: lo usiamo solo per limitare i tentativi ripetuti (accessi, registrazioni, richieste) e proteggere il servizio. Resta in contatori temporanei che si cancellano da soli dopo al massimo un'ora e non viene salvato nel database. [Registri (log) del server web e del proxy: indicare se contengono gli indirizzi IP e per quanto tempo vengono conservati]

Se la tua attività è una ditta individuale o porta il tuo nome, alcuni dati della scheda (per esempio il nome o il telefono) riguardano anche te come persona.

Perché li trattiamo e su quale base giuridica

• Creare e gestire il tuo account, pubblicare la scheda nelle vetrine, sui totem e nel biglietto da visita, gestire le adesioni, inviarti le email di servizio e mostrarti le statistiche: esecuzione del contratto che accetti con i termini di pubblicazione (art. 6, par. 1, lett. b GDPR).
• Rivedere i contenuti prima della pubblicazione e sospendere le schede: [base giuridica da confermare con il legale: esecuzione del contratto o legittimo interesse (art. 6, par. 1, lett. f GDPR)].
• Tenere il registro delle decisioni, per ricostruire chi ha deciso che cosa, per esempio in caso di contestazioni sul piano o sulla visibilità: legittimo interesse (art. 6, par. 1, lett. f GDPR). [Da confermare con il legale]
• Mostrare agli amministratori di una vetrina le statistiche delle attività della loro vetrina: [base giuridica da confermare con il legale].
• Proteggere il servizio dagli abusi (limiti alle richieste ripetute, blocco temporaneo dopo accessi sbagliati): legittimo interesse alla sicurezza del servizio (art. 6, par. 1, lett. f GDPR).
• Adempiere agli obblighi di legge, quando ce ne sono: art. 6, par. 1, lett. c GDPR.

Email, password e nome dell'attività servono per creare l'account; senza almeno un contatto e i campi obbligatori della scheda non puoi inviarla in revisione.

Chi vede i tuoi dati

• Chiunque visiti il sito o un totem: la versione approvata della scheda, con contatti, indirizzo, punto sulla mappa e orari, e il biglietto da visita.
• Gli amministratori della piattaforma: tutti i dati dell'account e della scheda, bozza compresa, il registro delle decisioni e tutte le statistiche.
• Gli amministratori di una vetrina, solo per la propria vetrina: la scheda, l'email del tuo account, le richieste di adesione con i rifiuti precedenti, l'adesione con piano e peso, le statistiche della tua attività in quella vetrina.
• I fornitori che ci aiutano a far funzionare il servizio, come responsabili del trattamento (vedi «Fornitori»).

Fornitori e trasferimenti fuori dall'Unione europea

• Server: l'applicazione e il database si trovano su un server gestito da [chi gestisce il server: il titolare o un responsabile del trattamento], presso [fornitore del server e luogo del data center]. [Dove sono conservate le immagini: sullo stesso server o presso un fornitore di archiviazione]
• Email: le email di servizio sono inviate tramite Resend, [ragione sociale e sede di Resend], che tratta il tuo indirizzo email e il contenuto dei messaggi e conserva i dati negli Stati Uniti. Il trasferimento si basa sul Data Privacy Framework UE-USA e sulle clausole contrattuali standard approvate dalla Commissione europea.
• [Altri fornitori (copie di sicurezza, monitoraggio, rete di distribuzione delle immagini), se presenti: da completare]

Per quanto tempo conserviamo i dati

• Account e scheda: finché non elimini l'account. [Cancellazione degli account inattivi o mai confermati: da decidere]
• Link per confermare l'email: validi 48 ore; link per reimpostare la password: validi 1 ora; sessioni di accesso: 30 giorni dall'ultimo utilizzo. Scaduti, restano in forma cifrata fino all'eliminazione dell'account.
• Immagini: quelle che non usi più (sostituite, rimosse o di bozze scartate) vengono cancellate 30 giorni dopo; dopo l'eliminazione dell'account vengono cancellate subito tutte.
• Statistiche: gli eventi singoli 90 giorni; i totali giornalieri restano senza limite di tempo e, dopo l'eliminazione dell'account, perdono il collegamento alla tua attività. [Durata dei totali giornalieri: da valutare con il legale]
• Registro delle decisioni: [durata da definire con il legale; oggi le voci non vengono cancellate]. Dopo l'eliminazione dell'account le voci restano senza il collegamento al tuo account e indicano la tua attività con il nome pubblico o l'indirizzo della scheda; quelle delle correzioni conservano anche il testo dei campi corretti, prima e dopo. [Se conservare il testo delle correzioni dopo l'eliminazione dell'account: da valutare con il legale]
• Indirizzo della scheda: resta riservato anche dopo l'eliminazione dell'account, perché non venga dato a un'altra attività e i codici QR già stampati non portino altrove.
• Email: un messaggio che non si riesce a inviare resta in coda al massimo un'ora e dieci minuti circa; quelli inviati non restano nei nostri sistemi. [Per quanto tempo Resend conserva i messaggi: da verificare]
• Contatori dei tentativi per indirizzo IP: da 1 minuto a 1 ora.
• [Registri (log) del server web e del proxy: da completare]
• [Copie di sicurezza (backup): frequenza e durata da completare]

I tuoi diritti

Puoi chiedere l'accesso ai tuoi dati (art. 15 GDPR), la rettifica (art. 16), la cancellazione (art. 17), la limitazione del trattamento (art. 18) e la portabilità dei dati che ci hai fornito (art. 20); puoi opporti ai trattamenti basati sul legittimo interesse (art. 21) e hai diritto di non essere sottoposto a decisioni basate unicamente su un trattamento automatizzato (art. 22). Comunichiamo rettifiche, cancellazioni e limitazioni a chi ha ricevuto i dati (art. 19).

Molte cose puoi farle da solo: modifichi la scheda e i contatti dalla tua area riservata; nella pagina Account cambi la password, scarichi una copia dei tuoi dati (sezione «I tuoi dati») ed elimini l'account (sezione «Elimina l'account»).

Per tutto il resto scrivi a [email di contatto]: ti rispondiamo entro un mese (art. 12 GDPR).

Se ritieni che il trattamento dei tuoi dati violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), come prevede l'art. 77 GDPR.

Nessuna decisione che ti riguarda è presa in modo solo automatico: revisioni, sospensioni e adesioni sono decise da persone. La fascia in evidenza sceglie le attività a caso, con una probabilità proporzionale al peso del piano.

Modifiche a questa informativa

Se cambia il modo in cui trattiamo i dati aggiorniamo questa informativa e la sua versione. [Come vengono avvisati i partecipanti: da decidere]