Informativa sul trattamento dei dati personali

Premessa e ambito di applicazione

La presente informativa sul trattamento dei dati personali (di seguito, l’“Informativa”) è redatta ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”), del d.lgs. 196/2003 come modificato dal d.lgs. 101/2018, e della normativa ePrivacy applicabile, ivi incluse le Linee guida del Garante per la protezione dei dati personali in materia di cookie e altri strumenti di tracciamento.

Essa disciplina il trattamento dei dati effettuato in relazione: (i) all’applicazione mobile Nomad per iOS e Android (l’“App”); (ii) al sito istituzionale nomadtravel.guru e alle relative pagine, ivi comprese la presente Informativa e i Termini di servizio (il “Sito”); (iii) ai servizi cloud di sincronizzazione, autenticazione, notifiche e supporto (congiuntamente, il “Servizio”).

L’Informativa si applica quando crei un account, accedi con indirizzo di posta elettronica o mediante fornitori di identità terzi (Apple, Google), sincronizzi contenuti con Nomad Cloud, navighi il Sito, o altrimenti interagisci con il Servizio.

Il testo vigente è sempre quello pubblicato all’indirizzo https://nomadtravel.guru/it/privacy/ e, in App, quello correlato alla versione calendaria indicata in calce. I Termini di servizio, che regolano l’utilizzo contrattuale del Servizio, sono disponibili all’indirizzo https://nomadtravel.guru/it/terms/. In caso di contrasto tra l’Informativa e i Termini relativamente al trattamento dei dati personali, prevale la presente Informativa.

Titolare del trattamento

Titolare del trattamento è l’operatore del Servizio Nomad, identificato nei confronti degli utenti come Stackhouse, che gestisce l’App e il Sito nomadtravel.guru (il “Titolare”).

Per l’esercizio dei diritti e per qualsiasi questione relativa al trattamento, l’Interessato può rivolgersi al Titolare mediante i canali di contatto pubblicati sul Sito e, ove disponibili, nell’App, indicando l’indirizzo di posta elettronica associato all’account.

Ove il Titolare nomini un responsabile della protezione dei dati (DPO) ai sensi dell’art. 37 GDPR, i relativi estremi saranno pubblicati sul Sito e nella presente Informativa senza ritardo.

Categorie di dati trattati

Il Titolare tratta, a seconda delle funzionalità che l’Interessato decide di utilizzare, le seguenti categorie:

(a) Dati di account: indirizzo di posta elettronica, nome visualizzato, metodo di autenticazione collegato, data di verifica dell’indirizzo, identificativi tecnici di sessione e token di rinnovo.

(b) Contenuti del viaggio inseriti dall’Interessato o dai compagni espressamente invitati: titoli, date, luoghi, note, elenchi di controllo, spese, metadati degli allegati e impostazioni di visibilità. I file degli allegati restano sul dispositivo salvo trasferimento tra compagni sulla rete locale; il cloud memorizza metadati e, ove previsto, riferimenti, non il contenuto binario a fini pubblicitari.

(c) Dati tecnici di funzionamento: sistema operativo, versione dell’App, lingua, fuso orario del dispositivo, identificativi di sincronizzazione, registri di errore resi anonimi o pseudonimizzati, e informazioni strettamente necessarie alla sicurezza (prevenzione abusi, rate limiting).

(d) Dati di geolocalizzazione: coordinate e indirizzi unicamente quando l’Interessato li salva volontariamente su un luogo o un’attività. Non è effettuato alcun tracciamento della posizione in background a fini di marketing o profilazione.

(e) Dati di telemetria di prodotto (solo se configurata, v. sezione dedicata): identificativo casuale dell’installazione, schermate visitate, eventi di utilizzo delle funzioni, piattaforma (iOS/Android/web). Tali dati non includono il contenuto dei viaggi, indirizzi di posta, nominativi, coordinate GPS, identificativi pubblicitari (IDFA/AAID) né User-ID dell’account.

Il Titolare non tratta categorie particolari di dati (art. 9 GDPR) in via intenzionale. L’Interessato è tenuto a non inserire nel Servizio dati relativi a salute, opinioni politiche, convinzioni religiose o altri dati ex art. 9, salvo che ciò avvenga sotto la propria esclusiva responsabilità.

Finalità del trattamento

I dati sono trattati per le seguenti finalità, in modo lecito, corretto e trasparente:

(i) erogazione del Servizio: creazione e gestione dell’account, autenticazione, organizzazione dei viaggi, sincronizzazione tra dispositivi, inviti ai compagni, backup in formato .nomad, notifiche di servizio, risoluzione dei conflitti di sincronizzazione;

(ii) sicurezza e integrità: prevenzione di usi abusivi, tutela dell’infrastruttura, diagnostica di malfunzionamenti, gestione degli errori client in forma aggregata o pseudonimizzata;

(iii) adempimenti di legge e tutela in giudizio;

(iv) analisi statistiche interne di tipo aggregato, non riconducibili alla persona dell’Interessato, destinate alla qualità del Servizio e alla pianificazione funzionale (v. sezione “Statistiche interne di prima parte”);

(v) telemetria di prodotto mediante Google Analytics 4, ove il Titolare abbia attivato tale strumento, nei limiti e con le garanzie di cui alla sezione dedicata;

(vi) comunicazioni strettamente necessarie all’esecuzione del contratto (verifica e-mail, reimpostazione della password, inviti di viaggio). Non sono inviate comunicazioni di marketing diretto in assenza di un consenso specifico, distinto e revocabile.

Il Titolare non vende dati personali e non li cede a terzi per finalità di profilazione pubblicitaria o di targeting comportamentale.

Basi giuridiche

Ciascuna finalità poggia su una base giuridica autonoma, ai sensi dell’art. 6 GDPR:

— esecuzione del contratto o misure precontrattuali (art. 6, par. 1, lett. b): account, sincronizzazione, inviti, backup, funzioni dell’App richieste dall’Interessato;

— obbligo legale (art. 6, par. 1, lett. c): conservazione di registri ove imposta, risposte alle autorità;

— interesse legittimo (art. 6, par. 1, lett. f), previo bilanciamento: sicurezza, prevenzione abusi, diagnostica, statistiche interne aggregate di prima parte, e — ove attivata — telemetria di prodotto strettamente limitata al miglioramento del Servizio, senza pubblicità, senza decisioni automatizzate e senza identificazione diretta dell’Interessato negli eventi;

— consenso (art. 6, par. 1, lett. a), ove richiesto da norma speciale (ad es. eventuali comunicazioni promozionali future, o trattamenti ulteriori non coperti dalle basi che precedono). Il consenso è libero, specifico, informato, inequivocabile e revocabile in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.

L’accettazione in-app della presente Informativa costituisce presa visione e, per i trattamenti necessari all’uso del cloud, condizione di utilizzo di Nomad Cloud. I trattamenti fondati su interesse legittimo non dipendono da tale accettazione in quanto “condizione di servizio”, fermo il diritto di opposizione di cui all’art. 21 GDPR.

Statistiche interne di prima parte (trattamento aggregato e non identificativo)

Il Titolare conduce analisi statistiche interne sul funzionamento del Servizio, accessibili esclusivamente a personale autorizzato mediante un pannello operativo riservato. Tali analisi sono effettuate su dati aggregati, derivati da elaborazioni automatiche (ETL) su tabelle statistiche distinte dai dati di account e dai contenuti dei viaggi.

In particolare, possono essere esaminati, in forma non attribuibile al singolo Interessato: conteggi di account attivi; versioni dell’App in uso; piattaforme (iOS/Android); aree geografiche derivate dai luoghi dei viaggi (continenti o Paesi), soggette a soglie di k-anonimato ove i volumi siano esigui; volumi di sincronizzazione; utilizzo di funzioni principali. Non sono conservati, in tali tabelle, nominativi, indirizzi di posta elettronica, identificativi di dispositivo, titoli di viaggio o altri elementi idonei a reidentificare l’Interessato.

Questo è l’unico flusso di analisi descritto nella presente Informativa come non riconducibile alla persona. Esso è fondato sull’interesse legittimo del Titolare a comprendere l’uso del Servizio e a garantirne la qualità (art. 6, par. 1, lett. f, GDPR), nel rispetto dei principi di minimizzazione e di privacy by design e by default (artt. 5 e 25 GDPR). I dati aggregati non sono utilizzati per adottare decisioni che producano effetti giuridici o incidano in modo analogo sull’Interessato (art. 22 GDPR).

Telemetria di prodotto e Google Analytics 4

Ove il Titolare configuri un identificativo di misurazione Google Analytics 4 (GA4), l’App e/o il Sito possono trasmettere a Google eventi di utilizzo a fini statistici e di miglioramento del prodotto. Questo trattamento è distinto dalle statistiche interne di prima parte di cui alla sezione precedente e non è presentato come “anonimo” in senso stretto.

Natura del trattamento. GA4 attribuisce un identificativo casuale all’installazione o al browser (client ID), genera sessioni e registra: visualizzazioni di schermate o pagine (secondo percorsi parametrizzati, senza identificativi di risorse dell’utente); eventi relativi a funzioni (ad esempio accesso, creazione di un viaggio, esportazione di un backup); piattaforma e lingua. Non sono trasmessi: indirizzo di posta, nome, User-ID dell’account Nomad, titoli o note dei viaggi, coordinate geografiche, nomi di file, token di sessione, identificativi pubblicitari (IDFA, GAID/AAID). Sono disattivate le funzioni pubblicitarie, i segnali Google e la personalizzazione degli annunci. Non è effettuata profilazione volta a decisioni automatizzate.

Ruolo di Google. Google Ireland Limited e, ove applicabile, Google LLC agiscono in qualità di responsabili del trattamento (art. 28 GDPR) per la fornitura della piattaforma Analytics, in base al contratto di trattamento dati (Data Processing Terms) e alle clausole contrattuali standard o altro meccanismo di trasferimento di cui alla sezione “Trasferimenti extra-SEE”. Google può trattare l’indirizzo IP della connessione; il Titolare richiede l’anonimizzazione dell’IP ove disponibile e configura il Consenso Mode in modo da negare l’archiviazione pubblicitaria.

Base giuridica. Interesse legittimo (art. 6, par. 1, lett. f) al miglioramento del Servizio, con garanzie di minimizzazione, divieto di uso pubblicitario e assenza di reidentificazione intenzionale. L’Interessato può opporsi ai sensi dell’art. 21 contattando il Titolare. Ove la normativa ePrivacy imponga un consenso preventivo per identificativi persistenti sul Sito, il Titolare adegua i meccanismi di attivazione (inclusa l’omissione dello script in assenza di configurazione).

Disattivazione. Se l’identificativo di misurazione non è configurato, nessun evento è inviato a Google e non è generato un client ID a tal fine. L’Interessato può inoltre limitare i cookie del browser e, su dispositivo mobile, le impostazioni di sistema relative al tracciamento; l’App non richiede il consenso App Tracking Transparency di Apple in quanto non accede all’identificativo pubblicitario.

Il Titolare non garantisce che i dati ricevuti da Google siano anonimi in senso legale; essi sono dati personali o, quanto meno, dati che possono costituire dati personali. Ogni affermazione contraria sarebbe inesatta.

Luogo di conservazione, sincronizzazione e sicurezza

I contenuti restano sul dispositivo dell’Interessato in una base dati locale (SQLite) anche in assenza di connettività. Con un account collegato, una copia è trasmessa in forma cifrata in transito (TLS) ai server del Titolare (Nomad Cloud) per backup e uso multi-dispositivo, secondo l’architettura documentata del Servizio.

Il Titolare adotta misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), ivi inclusi controllo degli accessi, privilegi minimi sul pannello amministrativo, registri di audit per atti su account, e cancellazione logica (soft delete) con successivo purge secondo la policy di conservazione.

L’Interessato può esportare un archivio .nomad completo dalle impostazioni. La sicurezza dipende anche dalla condotta dell’Interessato (custodia delle credenziali, aggiornamento del sistema operativo). Il Titolare non è responsabile della perdita di dati derivante da compromissione del dispositivo dell’Interessato o da mancato backup locale, nei limiti di legge inderogabile.

Destinatari e categorie di destinatari

I dati sono comunicati, nei limiti delle finalità e della minimizzazione, alle seguenti categorie:

(a) fornitori di autenticazione (Apple, Google) quando l’Interessato sceglie l’accesso federato;

(b) fornitori di infrastruttura cloud e hosting dell’API e delle basi dati, nominati responsabili ex art. 28 GDPR;

(c) servizi di mappe o geocodifica, unicamente quando l’Interessato ricerca o salva un luogo;

(d) Google Ireland Limited / Google LLC, in qualità di responsabile, per GA4 ove attivato, come descritto nella sezione sulla telemetria;

(e) autorità pubbliche, quando la comunicazione è imposta dalla legge o da ordine vincolante;

(f) professionisti e consulenti vincolati al segreto, per tutela legale del Titolare.

I compagni di viaggio vedono unicamente ciò che l’Interessato condivide in modo esplicito nel viaggio (visibilità delle voci, allegati, ruoli). Il Titolare non concede a terzi licenze sui contenuti dei viaggi per finalità pubblicitarie.

Trasferimenti extra-SEE

Alcuni destinatari, in particolare Google LLC e infrastrutture di autenticazione o hosting, possono trattare dati negli Stati Uniti d’America o in altri Paesi terzi.

Ove il Paese terzo non sia oggetto di decisione di adeguatezza della Commissione europea, il trasferimento avviene in presenza di garanzie appropriate ai sensi dell’art. 46 GDPR, in particolare le Clausole contrattuali standard adottate dalla Commissione, eventualmente integrate da misure supplementari, e/o — per i soggetti certificati — il quadro EU-US Data Privacy Framework, nei limiti della sua validità e applicabilità.

Copia delle garanzie o informazioni sul meccanismo impiegato può essere richiesta al Titolare, fatti salvi i segreti commerciali e la sicurezza.

Tempi di conservazione

I dati di account e i contenuti sincronizzati sono conservati per la durata del rapporto e, dopo la cancellazione dell’account o la richiesta di cancellazione, per il tempo necessario al soft delete, al purge e agli obblighi di legge (ad esempio, difesa in giudizio o obblighi fiscali, se e in quanto applicabili), secondo la policy documentata del Servizio.

I registri di consenso legale (accettazione dell’Informativa) sono conservati per il tempo necessario a dimostrare l’adempimento (art. 5, par. 2, GDPR — accountability), e comunque non oltre quanto consentito dalla prescrizione delle relative azioni.

I dati aggregati di prima parte sono conservati secondo le esigenze di analisi e possono essere ulteriormente anonimizzati.

Gli eventi GA4 sono conservati secondo le impostazioni della proprietà Analytics del Titolare e la policy di Google, in ogni caso per un periodo non superiore a quello necessario alle finalità statistiche, con facoltà del Titolare di adottare la soglia di conservazione più breve disponibile.

Diritti dell’Interessato

L’Interessato può esercitare, nei limiti di legge, i diritti di cui agli artt. 15–22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione al trattamento fondato su interesse legittimo, e il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o incida in modo analogo.

In App è possibile accedere ai dati di profilo, esportare i viaggi, correggere i contenuti, revocare inviti e richiedere la cancellazione dell’account. Per l’opposizione alla telemetria GA4 o per richieste che non possono essere evase autonomamente dall’App, l’Interessato contatta il Titolare.

L’Interessato ha il diritto di proporre reclamo all’autorità di controllo competente. Per gli Interessati che si trovano in Italia, l’autorità è il Garante per la protezione dei dati personali (www.garanteprivacy.it). Ciò non pregiudica ogni altro ricorso amministrativo o giurisdizionale.

Il Titolare riscontra le richieste senza ingiustificato ritardo e, in ogni caso, entro un mese, prorogabile nei casi di cui all’art. 12 GDPR.

Contatti

Per questioni relative a privacy e dati personali, l’Interessato scrive al Titolare tramite i canali di supporto indicati sul Sito ufficiale nomadtravel.guru o nell’App quando disponibili, indicando l’indirizzo di posta elettronica dell’account al fine di consentire l’identificazione e un riscontro più rapido.

Informativa vigente: https://nomadtravel.guru/it/privacy/ Termini di servizio: https://nomadtravel.guru/it/terms/

Modifiche alla presente Informativa

Il Titolare può aggiornare la presente Informativa per riflettere nuove funzioni, mutamenti organizzativi o obblighi di legge. La versione è identificata da una data calendaria (YYYY-MM-DD) pubblicata in App, sul Sito e nel codice del Servizio.

In caso di modifiche sostanziali, l’Interessato è informato in App e può essere richiesta una nuova accettazione prima di continuare a utilizzare Nomad Cloud. L’uso del Sito dopo la pubblicazione della nuova versione costituisce presa visione del testo aggiornato per i trattamenti relativi alla navigazione.

Le versioni precedenti restano tracciate nei registri di consenso per finalità di accountability. Si invita a consultare periodicamente https://nomadtravel.guru/it/privacy/.