Informativa sulla privacy

1. Disposizioni generali

La presente Informativa sulla privacy (l'«Informativa») stabilisce come vengono trattati e protetti i dati personali degli utenti del sito web Wombato (il «Servizio»). È conforme alla normativa applicabile, in particolare:

• al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (GDPR),
• alla legge polacca del 10 maggio 2018 sulla protezione dei dati personali,
• alla legge polacca del 16 luglio 2004 sulle telecomunicazioni.

2. Titolare del trattamento

Il titolare del trattamento dei tuoi dati personali è Kamil Grabowski, che opera all'indirizzo: ul. Bydgoska 6, 30-056 Kraków, Polonia, NIP: 6612220368, REGON: 260231175.

Indirizza qualsiasi domanda sul trattamento dei dati personali a: support@wombato.com.

3. Categorie di dati che trattiamo

Nell'ambito della fornitura del servizio trattiamo le seguenti categorie di dati:

3.1. Dati che fornisci

Dati obbligatori al momento della registrazione di un account:

• nome visualizzato (pseudonimo),
• indirizzo e-mail,
• password (conservata esclusivamente come hash crittografico).

Dati che fornisci volontariamente durante l'uso del servizio:

• immagine del profilo (avatar) e descrizione del profilo,
• luoghi, recensioni, commenti e check-in che aggiungi,
• foto.

Pubblicando nel Servizio ci fornisci inoltre: il contenuto dei post nel feed della community (comprese foto e link), i sondaggi che crei e i voti che esprimi al loro interno (i voti sono pubblici - vedi le condizioni del servizio), le menzioni di altri utenti nei post e l'elenco di persone, tag e regioni che segui. L'elenco degli account che segui è visibile sul tuo profilo pubblico.

Non richiediamo né raccogliamo il tuo numero di telefono o la tua data di nascita.

3.2. Dati raccolti automaticamente

• indirizzo IP,
• tipo di browser e sistema operativo, informazioni sul dispositivo,
• data e ora della visita, pagine visualizzate, sorgente del traffico (referrer),
• posizione approssimativa in base all'indirizzo IP (vedi sezione 4.8),
• coordinate GPS - solo dopo una tua azione e un tuo consenso espliciti (vedi sezione 4.7),
• dati minimi di verifica anti-bot (protezione dei moduli dai bot) e dati diagnostici sugli errori dell'applicazione trattati sul nostro server.

Per gli account bloccati in modo permanente per violazione delle condizioni del servizio conserviamo inoltre hash irreversibili di identificativi tecnici (vedi sezione 4.16).

3.3. Dati ottenuti tramite i cookie

In linea con la separata Informativa sui cookie, trattiamo i dati dei cookie per mantenere la tua sessione, per la sicurezza e - solo con il consenso - per le analisi.

Non offriamo l'accesso tramite account social (Google, Facebook). La registrazione e l'accesso avvengono esclusivamente tramite indirizzo e-mail, pertanto non otteniamo dati da fornitori di identità esterni.

4. Finalità e basi giuridiche del trattamento

4.1. Fornitura del servizio

Dati: nome, e-mail, contenuti, dati dell'abbonamento. Base: art. 6, par. 1, lett. b) del GDPR (esecuzione di un contratto). Finalità: gestione del tuo account, pubblicazione dei tuoi contenuti, gestione del piano Pro.

4.2. Comunicazione con gli utenti

Dati: e-mail. Base: art. 6, par. 1, lett. b) del GDPR. Finalità: risposta alle richieste, supporto tecnico, notifiche su cambiamenti importanti.

4.3. Newsletter

Dati: e-mail. Base: art. 6, par. 1, lett. a) del GDPR (consenso). Finalità: invio della newsletter (novità, consigli, luoghi in evidenza), inviata per nostro conto da un fornitore di servizi e-mail. Puoi iscriverti anche senza un account. Puoi revocare il consenso nelle impostazioni o tramite il link presente in ogni messaggio.

4.4. Analisi e ottimizzazione

Dati: IP, dati del browser, statistiche di utilizzo. Base: art. 6, par. 1, lett. a) del GDPR (consenso ai cookie analitici). Finalità: analisi del traffico e miglioramento del servizio. Strumenti: Google Analytics (USA, SCC) e PostHog (regione UE). Attivati solo dopo il consenso.

4.5. Adempimento di obblighi di legge

Base: art. 6, par. 1, lett. c) del GDPR. Finalità: contabilità fiscale, conservazione dei registri, gestione delle segnalazioni di contenuti illeciti (DSA).

4.6. Esercizio di pretese

Base: art. 6, par. 1, lett. f) del GDPR. Finalità: far valere pretese e applicare le condizioni del servizio.

4.7. Geolocalizzazione GPS (su tua azione)

Dati: coordinate GPS. Base: art. 6, par. 1, lett. a) del GDPR (consenso). Finalità: effettuare il check-in in un luogo e trovare luoghi nelle vicinanze. Il consenso viene richiesto dal tuo browser o dal sistema durante la specifica azione. Non ti tracciamo in background né conserviamo una cronologia delle posizioni - la posizione viene usata una sola volta per eseguire la tua azione.

4.8. Posizione approssimativa dall'indirizzo IP

Dati: indirizzo IP, regione approssimativa. Base: art. 6, par. 1, lett. f) del GDPR. Finalità: una prima corrispondenza di lingua/regione e la raccomandazione di luoghi nelle vicinanze. Deriviamo la regione da un database di geolocalizzazione locale in esecuzione sul nostro server - il tuo indirizzo IP non viene inviato a un fornitore esterno. Hai il diritto di opporti.

4.9. Protezione dagli abusi

Dati: segnali minimi di verifica. Base: art. 6, par. 1, lett. f) del GDPR. Finalità: verificare che l'accesso, la registrazione o la reimpostazione della password siano eseguiti da una persona e non da un bot. Utilizziamo una soluzione anti-bot rispettosa della privacy che non ti traccia tra i siti né crea un profilo pubblicitario.

4.10. Mappe e ricerca di indirizzi

Base: art. 6, par. 1, lett. b) del GDPR. Finalità: visualizzazione delle mappe e ricerca degli indirizzi. Le richieste di geocodifica passano attraverso il nostro server (proxy), così il fornitore esterno di mappe non riceve il tuo indirizzo IP.

4.11. Monitoraggio degli errori

Base: art. 6, par. 1, lett. f) del GDPR. Finalità: diagnosticare gli errori e mantenere stabile il servizio. Il monitoraggio è eseguito sul nostro server nell'UE - i dati sugli errori non vengono trasmessi a un fornitore esterno.

4.12. Modulo di contatto

Dati: e-mail, oggetto e contenuto del messaggio. Base: art. 6, par. 1, lett. a) del GDPR. Finalità: rispondere alla tua richiesta.

4.13. Suggerimenti di persone

Nel feed e durante i primi passi possiamo suggerirti profili di altri membri della community. I suggerimenti si basano esclusivamente su informazioni pubblicamente visibili: luoghi pubblicati (inclusa la loro regione), recensioni e attività recente nel servizio. Ogni suggerimento mostra il motivo per cui lo vedi. Non utilizziamo la posizione del tuo dispositivo né gli indirizzi IP di altri utenti.

Puoi escludere in qualsiasi momento il tuo profilo dai suggerimenti nelle Impostazioni (Privacy, "Mostrami nei suggerimenti"); un suggerimento rifiutato non ritorna. La base giuridica è il nostro legittimo interesse (art. 6, par. 1, lett. f del GDPR) a facilitare i contatti nella community.

4.14. Link brevi womba.to

Quando pubblichiamo contenuti al di fuori del servizio utilizziamo nostri link brevi sul dominio womba.to, che reindirizzano a wombato.com. Al clic registriamo esclusivamente statistiche aggregate: il codice del link, il paese, il dominio del sito di provenienza, il tipo di client (persona o bot) e l'orario del clic. Non registriamo il tuo indirizzo IP, un identificativo completo del browser né cookie, e non colleghiamo questi dati al tuo account. La base giuridica è il nostro legittimo interesse (art. 6, par. 1, lett. f del GDPR) a misurare l'efficacia delle nostre pubblicazioni.

4.15. Contenuti su misura per te (personalizzazione)

Per suggerirti luoghi, tag e post vicini ai tuoi interessi trattiamo segnali che provengono esclusivamente dalle tue azioni consapevoli nel Servizio dopo l'accesso: seguire persone, tag e regioni, salvare e visitare luoghi, pubblicare recensioni e commenti, reazioni, voti nei sondaggi e alcuni clic sui contenuti (ad esempio l'apertura di un post, il clic su un tag, la scelta di nascondere un contenuto con "Non mi interessa"). Su questa base manteniamo un profilo di interessi interno e aggregato (ad esempio "si interessa alla regione dei Bieszczady"). Ciò costituisce profilazione ai sensi del GDPR; non produce nei tuoi confronti effetti giuridici né incide in modo analogamente significativo - influisce esclusivamente sull'ordine e sulla selezione dei contenuti mostrati.

Non raccogliamo dati sul tempo di visualizzazione dei contenuti, sullo scorrimento o sui movimenti del cursore; non profiliamo le persone non autenticate; i segnali non contengono l'indirizzo IP.

Base: art. 6, par. 1, lett. f) del GDPR (legittimo interesse - fornire contenuti pertinenti all'interno del Servizio). Puoi opporti in qualsiasi momento (art. 21 del GDPR) tramite l'interruttore "Contenuti su misura per te" nelle Impostazioni (Privacy e dati) - con effetto immediato: smettiamo di raccogliere segnali, il profilo di interessi viene eliminato e i contenuti vengono presentati in base ad attualità e vicinanza. Dettagli sul periodo di conservazione: sezione 5.6.

4.16. Sicurezza e prevenzione degli abusi

Dati: indirizzo IP, informazioni sul dispositivo e sul browser, cronologia degli accessi e, in caso di blocco permanente dell'account, hash irreversibili (con salt) dell'indirizzo IP e dell'identificativo del dispositivo. Base: art. 6, par. 1, lett. f) del GDPR (legittimo interesse - protezione del Servizio e della community dagli abusi, compresa l'elusione dei blocchi). Finalità: rilevare tentativi di accesso non autorizzato, far rispettare i blocchi dell'account, impedire la creazione di account volti a eludere le sanzioni.

Gli hash non consentono di risalire al valore originale e non vengono utilizzati per alcuna altra finalità. Abbiamo svolto un test di bilanciamento (LIA) per questo trattamento - ne mettiamo a disposizione la sintesi su richiesta.

4.17. Notifiche push

Dati: identificativo dell'abbonamento alle notifiche nel browser o token del dispositivo, tipo di piattaforma, lingua scelta e fuso orario del dispositivo. Base: art. 6, par. 1, lett. a) del GDPR (consenso) - attivi tu stesso le notifiche nel Servizio e confermi inoltre l'autorizzazione nel browser o nel sistema del dispositivo. Per le notifiche relative al tuo account, ai pagamenti e alle decisioni di moderazione, inviate dopo l'attivazione, la base è l'art. 6, par. 1, lett. b) del GDPR (esecuzione di un contratto). Finalità: consegnare la notifica sul tuo dispositivo, nella tua lingua e a un orario che tiene conto del fuso orario del dispositivo.

Puoi disattivare le notifiche in qualsiasi momento nelle impostazioni del Servizio oppure nelle impostazioni del browser o del sistema; lì scegli anche di che cosa vuoi essere avvisato. Dopo la disattivazione o la scadenza dell'abbonamento smettiamo di usare l'identificativo e lo contrassegniamo come inattivo; lo cancelliamo definitivamente insieme all'account.

La notifica raggiunge il tuo dispositivo tramite il servizio push del fornitore del tuo browser o del tuo sistema operativo - senza questo intermediario la tecnologia push non funziona. Riceve soltanto il contenuto della notifica e l'identificativo dell'abbonamento, senza il tuo indirizzo e-mail e i dati dell'account. Non usiamo l'identificativo per finalità di marketing né per tracciarti al di fuori del Servizio.

5. Periodo di conservazione dei dati

5.1. Dati dell'account

• Account attivo: per tutto il tempo in cui lo mantieni.
• Account eliminato: i dati personali vengono cancellati e la paternità dei contenuti pubblicati (luoghi, recensioni, foto) viene resa anonima subito dopo l'eliminazione. I contenuti anonimizzati restano nel Servizio come risorsa della community.

5.2. Dati di marketing e newsletter

Conservati fino alla revoca del consenso; dopo la revoca vengono cancellati o resi anonimi senza indebito ritardo.

5.3. Dati analitici (con consenso)

• Google Analytics: 26 mesi dall'ultima interazione,
• PostHog (UE): fino a 12 mesi,
• log di sicurezza del server: 12 mesi.

5.4. Dati legali

• fatture e documenti contabili: per il periodo richiesto dalla normativa fiscale,
• corrispondenza: fino a 3 anni dopo la chiusura della pratica.

5.5. Dati di sicurezza

• cronologia degli accessi e dispositivi noti: fino a 90 giorni per gli account attivi, fino a 12 mesi per gli account bloccati,
• hash di identificativi collegati al blocco di un account: fino a 12 mesi dalla registrazione (i blocchi degli indirizzi IP scadono inoltre automaticamente prima),
• registrazioni delle decisioni di moderazione (comprese le motivazioni): per il periodo richiesto dalla normativa sui servizi digitali e per la difesa da pretese.

5.6. Dati di personalizzazione dei contenuti

Conserviamo i segnali di interesse grezzi per un massimo di 90 giorni (quelli più vecchi vengono eliminati definitivamente) e il profilo di interessi aggregato fino alla tua opposizione o all'eliminazione dell'account. Dopo la disattivazione della personalizzazione eliminiamo subito il profilo e conserviamo i segnali grezzi per altri 30 giorni al solo scopo di ripristinarne la qualità se in quel periodo riattivi la personalizzazione (in tale periodo i segnali non vengono utilizzati); trascorsi 30 giorni vengono eliminati definitivamente. L'eliminazione dell'account cancella tutti questi dati.

6. Destinatari e trasferimenti dei dati

6.1. Fornitori di infrastruttura

Per far funzionare il Servizio ci avvaliamo di fornitori affidabili che trattano i dati per nostro conto in base ad accordi sul trattamento dei dati (art. 28 del GDPR):

• un fornitore di hosting - con data center nell'Unione europea,
• un fornitore di CDN, protezione e verifica anti-bot,
• un fornitore di servizi e-mail - messaggi transazionali e newsletter (con consenso),
• fornitori di analisi automatizzata dei contenuti - OpenAI e Anthropic (USA) - verifica dei contenuti pubblicati rispetto ai Termini, traduzioni su richiesta e suggerimenti di descrizioni e nomi dei luoghi; ricevono esclusivamente il contenuto stesso (testo e foto prive di metadati, inclusa la posizione), senza il tuo indirizzo e-mail né i dati del tuo account,
• Paddle - gestione dei pagamenti in qualità di Merchant of Record; è il venditore indicato sul tuo estratto conto e noi non riceviamo i numeri delle tue carte.

Forniamo l'elenco completo e aggiornato dei responsabili del trattamento su richiesta all'indirizzo support@wombato.com. Il monitoraggio degli errori e le statistiche analitiche (queste ultime solo con consenso) sono descritti nelle sezioni 4.4 e 4.11.

6.2. Trasferimenti al di fuori del SEE

I contenuti analizzati da OpenAI e Anthropic (USA) sono trattati al di fuori del SEE sulla base delle clausole contrattuali tipo della Commissione europea (art. 46 del GDPR) e non vengono utilizzati per addestrare i modelli di questi fornitori. Con il tuo consenso, lo strumento di analisi Google Analytics (USA) può trasferire dati al di fuori dello Spazio economico europeo - sulla base delle clausole contrattuali tipo della Commissione europea (art. 46 del GDPR). PostHog e il nostro monitoraggio degli errori sono eseguiti nell'UE - questi dati non lasciano il SEE.

6.3. Altri soggetti

I dati possono essere condivisi con organismi autorizzati dalla legge (ad esempio autorità statali). Non ci sono reti pubblicitarie, né pixel social, né broker di dati. Non vendiamo né noleggiamo dati personali.

6.4. Visibilità dei tuoi contenuti per gli altri

Pubblicando nel Servizio condividi contenuti con altre persone. Gli altri utenti vedono: il tuo profilo (nome visualizzato, immagine del profilo, descrizione, numero di follower e di account seguiti), i luoghi, le recensioni, le foto e i commenti che aggiungi, i tuoi post nel feed della community, i sondaggi che crei insieme ai voti espressi al loro interno (i voti sono pubblici), le persone che menzioni e l'elenco degli account che segui. I contenuti pubblici - luoghi, recensioni e profili pubblici - sono visibili anche a chi non ha effettuato l'accesso e i motori di ricerca possono indicizzarli e mostrarli nei propri risultati.

Un contenuto pubblicato può essere copiato o salvato da terzi, cosa che sfugge al nostro controllo. Pubblica con attenzione e non inserire informazioni che non vuoi rivelare, in particolare la posizione esatta della tua abitazione o i dati di altre persone.

I messaggi privati sono visibili soltanto al mittente e al destinatario. L'eccezione è un messaggio segnalato dal suo destinatario - il messaggio segnalato viene allora trasmesso al team di moderazione affinché la segnalazione possa essere esaminata.

Alcuni elementi del profilo puoi disattivarli nelle Impostazioni (tra l'altro l'elenco dei tag seguiti, lo stato di attività, la presenza in classifica e nei suggerimenti). I luoghi salvati sono visibili per impostazione predefinita solo a te.

6.5. Successione legale

In caso di trasformazione, fusione o vendita del Servizio o di una sua parte, i dati possono passare al successore legale, che assume il ruolo di titolare del trattamento. Ciò avviene alle condizioni descritte nella presente Informativa - per la stessa finalità e nella stessa misura, senza ampliare il trattamento. Ti informeremo di tale cambiamento in anticipo nel Servizio e via e-mail, prima che abbia effetto, in modo che i tuoi diritti, compresa l'eliminazione dell'account, possano essere esercitati prima.

7. I tuoi diritti

• Accesso (art. 15 del GDPR) - conferma e visione dei tuoi dati e informazioni sul trattamento.
• Rettifica (art. 16 del GDPR) - correzione dei dati inesatti.
• Cancellazione (art. 17 del GDPR) - il «diritto all'oblio».
• Limitazione del trattamento (art. 18 del GDPR).
• Portabilità dei dati (art. 20 del GDPR) - in un formato leggibile da dispositivo automatico.
• Opposizione (art. 21 del GDPR) - al trattamento basato su un legittimo interesse o per finalità di marketing.
• Revoca del consenso - in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente.

Il diritto alla cancellazione è soggetto alle eccezioni previste dall'art. 17, par. 3, del GDPR: possiamo conservare dati limitati quando ciò è necessario per adempiere a un obbligo legale (art. 17, par. 3, lett. b) del GDPR) oppure per accertare, esercitare o difendere un diritto in sede giudiziaria (art. 17, par. 3, lett. e) del GDPR) - in particolare gli hash irreversibili collegati al blocco di un account (affinché l'eliminazione dell'account non serva a eludere le sanzioni) e le registrazioni delle decisioni di moderazione.

L'opposizione alla personalizzazione dei contenuti (art. 21 del GDPR) la eserciti in autonomia e con effetto immediato tramite l'interruttore nelle Impostazioni (Privacy e dati, "Contenuti su misura per te"); puoi anche scrivere a support@wombato.com. Riceverai una copia del profilo di interessi e dei segnali nell'esportazione dei dati (Impostazioni, Privacy e dati, "Esporta i tuoi dati").

Per esercitare questi diritti, scrivi a support@wombato.com. Hai inoltre il diritto di proporre reclamo a un'autorità di controllo - in Polonia si tratta del Presidente dell'Ufficio per la protezione dei dati personali (UODO, uodo.gov.pl), mentre negli altri Paesi la tua autorità locale per la protezione dei dati.

8. Sicurezza dei dati

8.1. Misure tecniche

• connessioni cifrate (TLS),
• password conservate esclusivamente come hash crittografico,
• backup regolari,
• sistemi di monitoraggio per la sicurezza,
• protezione anti-bot sui moduli di accesso e registrazione.

8.2. Misure organizzative

• accesso ai dati limitato secondo il principio della stretta necessità,
• procedure interne di sicurezza e risposta agli incidenti,
• accordi di riservatezza con eventuali subappaltatori.

8.3. Violazioni dei dati personali

Se, nonostante queste misure, si verifica una violazione dei dati personali, ne valutiamo le conseguenze e il rischio per i tuoi diritti e le tue libertà. Quando la legge lo richiede, notifichiamo la violazione al Presidente dell'Ufficio per la protezione dei dati personali (UODO) entro 72 ore dal momento in cui ne veniamo a conoscenza e, se la violazione può comportare un rischio elevato per te - te ne informiamo direttamente.

9. Cookie

I cookie essenziali (sessione, sicurezza, verifica anti-bot, memorizzazione del tuo consenso) funzionano sempre e non richiedono il consenso. I cookie analitici (Google Analytics, PostHog) vengono attivati solo dopo il tuo consenso e puoi rifiutarli senza perdere alcuna funzionalità. Non utilizziamo cookie pubblicitari. Consulta l'Informativa sui cookie per i dettagli.

10. Processo decisionale automatizzato

Non prendiamo decisioni che producano effetti giuridici o similmente significativi nei tuoi confronti basate unicamente su un trattamento automatizzato, compresa la profilazione (art. 22 del GDPR). Le sanzioni sull'account sono sempre decise da una persona; i sistemi automatici possono soltanto effettuare un controllo preliminare dei contenuti pubblicati. Gli hash di identificativi collegati al blocco permanente di un account (sezione 4.16) servono esclusivamente a dare attuazione a una decisione presa in precedenza da una persona.

La selezione e l'ordine dei contenuti nel feed della community possono essere personalizzati in base al tuo profilo di interessi (sezione 4.15). Si tratta di una profilazione che non produce nei tuoi confronti effetti giuridici né incide in modo analogamente significativo - determina soltanto che cosa vedi e in quale ordine. Puoi disattivare la personalizzazione in qualsiasi momento nelle Impostazioni (Privacy e dati, "Contenuti su misura per te").

Qualsiasi profilazione per finalità di marketing richiede il tuo consenso esplicito.

11. Dati dei minori

Il Servizio è destinato alle persone di età pari o superiore a 16 anni. Non raccogliamo consapevolmente dati di persone più giovani. Se ritieni che un minore ci abbia fornito i propri dati, scrivi a support@wombato.com e li cancelleremo tempestivamente.

12. Modifiche alla presente informativa

La presente informativa può essere aggiornata con l'evoluzione del servizio. Annunceremo le modifiche significative tramite un banner nel Servizio e, per gli utenti registrati, anche via e-mail. La versione corrente è sempre disponibile in questa pagina e la data dell'ultima modifica è indicata sopra.

13. Contatti e disposizioni finali

Contatto in materia di dati personali: support@wombato.com, indirizzo: ul. Bydgoska 6, 30-056 Kraków, Polonia.

La presente informativa è pubblicata in più lingue. In caso di discrepanze, prevale la versione polacca.