Informativa sulla privacy

1. Disposizioni generali

La presente Informativa sulla privacy (l'«Informativa») stabilisce come vengono trattati e protetti i dati personali degli utenti del sito web Wombato (il «Servizio»). È conforme alla normativa applicabile, in particolare:

al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (GDPR),
alla legge polacca del 10 maggio 2018 sulla protezione dei dati personali,
alla legge polacca del 16 luglio 2004 sulle telecomunicazioni.

2. Titolare del trattamento

Il titolare del trattamento dei tuoi dati personali è Kamil Grabowski, che opera all'indirizzo: ul. Bydgoska 6, 30-056 Kraków, Polonia, NIP: 6612220368, REGON: 260231175.

Indirizza qualsiasi domanda sul trattamento dei dati personali a: support@wombato.com.

3. Categorie di dati che trattiamo

Nell'ambito della fornitura del servizio trattiamo le seguenti categorie di dati:

3.1. Dati che fornisci

Dati obbligatori al momento della registrazione di un account:

nome visualizzato (pseudonimo),
indirizzo e-mail,
password (conservata esclusivamente come hash crittografico).

Dati che fornisci volontariamente durante l'uso del servizio:

immagine del profilo (avatar) e descrizione del profilo,
luoghi, recensioni, commenti e check-in che aggiungi,
foto.

Non richiediamo né raccogliamo il tuo numero di telefono o la tua data di nascita.

3.2. Dati raccolti automaticamente

indirizzo IP,
tipo di browser e sistema operativo, informazioni sul dispositivo,
data e ora della visita, pagine visualizzate, sorgente del traffico (referrer),
posizione approssimativa in base all'indirizzo IP (vedi sezione 4.8),
coordinate GPS - solo dopo una tua azione e un tuo consenso espliciti (vedi sezione 4.7),
dati minimi di verifica anti-bot (protezione dei moduli dai bot) e dati diagnostici sugli errori dell'applicazione trattati sul nostro server.

3.3. Dati ottenuti tramite i cookie

In linea con la separata Informativa sui cookie, trattiamo i dati dei cookie per mantenere la tua sessione, per la sicurezza e - solo con il consenso - per le analisi.

Non offriamo l'accesso tramite account social (Google, Facebook). La registrazione e l'accesso avvengono esclusivamente tramite indirizzo e-mail, pertanto non otteniamo dati da fornitori di identità esterni.

4. Finalità e basi giuridiche del trattamento

4.1. Fornitura del servizio

Dati: nome, e-mail, contenuti, dati dell'abbonamento. Base: art. 6, par. 1, lett. b) del GDPR (esecuzione di un contratto). Finalità: gestione del tuo account, pubblicazione dei tuoi contenuti, gestione del piano Pro.

4.2. Comunicazione con gli utenti

Dati: e-mail. Base: art. 6, par. 1, lett. b) del GDPR. Finalità: risposta alle richieste, supporto tecnico, notifiche su cambiamenti importanti.

4.3. Newsletter

Dati: e-mail. Base: art. 6, par. 1, lett. a) del GDPR (consenso). Finalità: invio della newsletter (novità, consigli, luoghi in evidenza), inviata per nostro conto da un fornitore di servizi e-mail. Puoi iscriverti anche senza un account. Puoi revocare il consenso nelle impostazioni o tramite il link presente in ogni messaggio.

4.4. Analisi e ottimizzazione

Dati: IP, dati del browser, statistiche di utilizzo. Base: art. 6, par. 1, lett. a) del GDPR (consenso ai cookie analitici). Finalità: analisi del traffico e miglioramento del servizio. Strumenti: Google Analytics (USA, SCC), Microsoft Clarity (USA, SCC - registrazioni delle sessioni e mappe di calore), PostHog (regione UE) e la nostra istanza Umami ospitata nell'UE. Attivati solo dopo il consenso.

4.5. Adempimento di obblighi di legge

Base: art. 6, par. 1, lett. c) del GDPR. Finalità: contabilità fiscale, conservazione dei registri, gestione delle segnalazioni di contenuti illeciti (DSA).

4.6. Esercizio di pretese

Base: art. 6, par. 1, lett. f) del GDPR. Finalità: far valere pretese e applicare le condizioni del servizio.

4.7. Geolocalizzazione GPS (su tua azione)

Dati: coordinate GPS. Base: art. 6, par. 1, lett. a) del GDPR (consenso). Finalità: effettuare il check-in in un luogo e trovare luoghi nelle vicinanze. Il consenso viene richiesto dal tuo browser o dal sistema durante la specifica azione. Non ti tracciamo in background né conserviamo una cronologia delle posizioni - la posizione viene usata una sola volta per eseguire la tua azione.

4.8. Posizione approssimativa dall'indirizzo IP

Dati: indirizzo IP, regione approssimativa. Base: art. 6, par. 1, lett. f) del GDPR. Finalità: una prima corrispondenza di lingua/regione e la raccomandazione di luoghi nelle vicinanze. Deriviamo la regione da un database di geolocalizzazione locale in esecuzione sul nostro server - il tuo indirizzo IP non viene inviato a un fornitore esterno. Hai il diritto di opporti.

4.9. Protezione dagli abusi

Dati: segnali minimi di verifica. Base: art. 6, par. 1, lett. f) del GDPR. Finalità: verificare che l'accesso, la registrazione o la reimpostazione della password siano eseguiti da una persona e non da un bot. Utilizziamo una soluzione anti-bot rispettosa della privacy che non ti traccia tra i siti né crea un profilo pubblicitario.

4.10. Mappe e ricerca di indirizzi

Base: art. 6, par. 1, lett. b) del GDPR. Finalità: visualizzazione delle mappe e ricerca degli indirizzi. Le richieste di geocodifica passano attraverso il nostro server (proxy), così il fornitore esterno di mappe non riceve il tuo indirizzo IP.

4.11. Monitoraggio degli errori

Base: art. 6, par. 1, lett. f) del GDPR. Finalità: diagnosticare gli errori e mantenere stabile il servizio. Il monitoraggio è eseguito sul nostro server nell'UE - i dati sugli errori non vengono trasmessi a un fornitore esterno.

4.12. Modulo di contatto

Dati: e-mail, oggetto e contenuto del messaggio. Base: art. 6, par. 1, lett. a) del GDPR. Finalità: rispondere alla tua richiesta.

5. Periodo di conservazione dei dati

5.1. Dati dell'account

Account attivo: per tutto il tempo in cui lo mantieni.
Account eliminato: i dati personali vengono cancellati e la paternità dei contenuti pubblicati (luoghi, recensioni, foto) viene resa anonima subito dopo l'eliminazione. I contenuti anonimizzati restano nel Servizio come risorsa della community.

5.2. Dati di marketing e newsletter

Conservati fino alla revoca del consenso; dopo la revoca vengono cancellati o resi anonimi senza indebito ritardo.

5.3. Dati analitici (con consenso)

Google Analytics: 26 mesi dall'ultima interazione,
Microsoft Clarity: 13 mesi,
PostHog / Umami (UE): fino a 12 mesi,
log di sicurezza del server: 12 mesi.

5.4. Dati legali

fatture e documenti contabili: per il periodo richiesto dalla normativa fiscale,
corrispondenza: fino a 3 anni dopo la chiusura della pratica.

6. Destinatari e trasferimenti dei dati

6.1. Fornitori di infrastruttura

Per far funzionare il Servizio ci avvaliamo di fornitori affidabili che trattano i dati per nostro conto in base ad accordi sul trattamento dei dati (art. 28 del GDPR):

un fornitore di hosting - con data center nell'Unione europea,
un fornitore di CDN, protezione e verifica anti-bot,
un fornitore di servizi e-mail - messaggi transazionali e newsletter (con consenso),
Paddle - gestione dei pagamenti in qualità di Merchant of Record; è il venditore indicato sul tuo estratto conto e noi non riceviamo i numeri delle tue carte.

Forniamo l'elenco completo e aggiornato dei responsabili del trattamento su richiesta all'indirizzo support@wombato.com. Il monitoraggio degli errori e le statistiche analitiche (queste ultime solo con consenso) sono descritti nelle sezioni 4.4 e 4.11.

6.2. Trasferimenti al di fuori del SEE

Con il tuo consenso, gli strumenti di analisi Google Analytics e Microsoft Clarity (USA) possono trasferire dati al di fuori dello Spazio economico europeo - sulla base delle clausole contrattuali tipo della Commissione europea (art. 46 del GDPR). Umami, PostHog e il nostro monitoraggio degli errori sono eseguiti nell'UE - questi dati non lasciano il SEE.

6.3. Altri soggetti

I dati possono essere condivisi con organismi autorizzati dalla legge (ad esempio autorità statali). Non ci sono reti pubblicitarie, né pixel social, né broker di dati. Non vendiamo né noleggiamo dati personali.

7. I tuoi diritti

Accesso (art. 15 del GDPR) - conferma e visione dei tuoi dati e informazioni sul trattamento.
Rettifica (art. 16 del GDPR) - correzione dei dati inesatti.
Cancellazione (art. 17 del GDPR) - il «diritto all'oblio».
Limitazione del trattamento (art. 18 del GDPR).
Portabilità dei dati (art. 20 del GDPR) - in un formato leggibile da dispositivo automatico.
Opposizione (art. 21 del GDPR) - al trattamento basato su un legittimo interesse o per finalità di marketing.
Revoca del consenso - in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente.

Per esercitare questi diritti, scrivi a support@wombato.com. Hai inoltre il diritto di proporre reclamo a un'autorità di controllo - in Polonia si tratta del Presidente dell'Ufficio per la protezione dei dati personali (UODO, uodo.gov.pl), mentre negli altri Paesi la tua autorità locale per la protezione dei dati.

8. Sicurezza dei dati

8.1. Misure tecniche

connessioni cifrate (TLS),
password conservate esclusivamente come hash crittografico,
backup regolari,
sistemi di monitoraggio per la sicurezza,
protezione anti-bot sui moduli di accesso e registrazione.

8.2. Misure organizzative

accesso ai dati limitato secondo il principio della stretta necessità,
procedure interne di sicurezza e risposta agli incidenti,
accordi di riservatezza con eventuali subappaltatori.

9. Cookie

I cookie essenziali (sessione, sicurezza, verifica anti-bot, memorizzazione del tuo consenso) funzionano sempre e non richiedono il consenso. I cookie analitici (Google Analytics, Microsoft Clarity, PostHog, Umami) vengono attivati solo dopo il tuo consenso e puoi rifiutarli senza perdere alcuna funzionalità. Non utilizziamo cookie pubblicitari. Consulta l'Informativa sui cookie per i dettagli.

10. Processo decisionale automatizzato

Non prendiamo decisioni che producano effetti giuridici o similmente significativi nei tuoi confronti basate unicamente su un trattamento automatizzato, compresa la profilazione. Le sanzioni sull'account sono sempre decise da una persona. Qualsiasi profilazione per finalità di marketing richiede il tuo consenso esplicito.

11. Dati dei minori

Il Servizio è destinato alle persone di età pari o superiore a 16 anni. Non raccogliamo consapevolmente dati di persone più giovani. Se ritieni che un minore ci abbia fornito i propri dati, scrivi a support@wombato.com e li cancelleremo tempestivamente.

12. Modifiche alla presente informativa

La presente informativa può essere aggiornata con l'evoluzione del servizio. Annunceremo le modifiche significative tramite un banner nel Servizio e, per gli utenti registrati, anche via e-mail. La versione corrente è sempre disponibile in questa pagina e la data dell'ultima modifica è indicata sopra.

13. Contatti e disposizioni finali

Contatto in materia di dati personali: support@wombato.com, indirizzo: ul. Bydgoska 6, 30-056 Kraków, Polonia.

La presente informativa è pubblicata in più lingue. In caso di discrepanze, prevale la versione polacca.