Informativa sul trattamento dei dati personali

Il Titolare del trattamento dei dati personali raccolti tramite il presente sito e l'applicazione Amazed è:

Amazed S.r.l.

Sede legale: Via Volturno 5, 20900 Monza (MB), Italia — P. IVA: 14657960960 — REA: MB-2798911 — Capitale sociale: € 10.000,00 i.v. — Sito web: amazed.tours — Email ordinaria: privacy@amazed.tours — PEC: amazed@pec.it

Per qualsiasi richiesta relativa al trattamento dei dati personali è possibile contattare il Titolare ai recapiti indicati sopra.

Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO), non essendo tenuto a tale designazione ai sensi dell'art. 37 del GDPR.

La presente informativa descrive il trattamento dei dati personali effettuato dal Titolare attraverso:

• il Sito amazed.tours (navigazione, sondaggio online, iscrizione alla lista d'attesa, richieste di contatto);
• l'Applicazione Amazed (registrazione e gestione dell'Account, acquisto e fruizione dei Tour, funzionalità di gioco, geolocalizzazione, valuta virtuale interna).

Ove una specifica disposizione si applichi al solo Sito o alla sola Applicazione, ciò è indicato espressamente.

I dati personali sono trattati per le seguenti finalità:

La base giuridica varia in funzione della finalità:

• Finalità 5.1 (sondaggio), 5.2 (waitlist) e geolocalizzazione 5.4: consenso libero, specifico, informato e inequivocabile dell'interessato (art. 6, par. 1, lett. a GDPR), espresso rispettivamente con l'invio volontario dei dati e, per la posizione, con l'autorizzazione a livello di dispositivo. Il consenso è revocabile in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca.
• Finalità 5.3 (Account e fornitura del Servizio) e 5.5 (pagamenti): esecuzione di un contratto di cui l'interessato è parte o di misure precontrattuali (art. 6, par. 1, lett. b GDPR).
• Finalità 5.6 (sicurezza) e 5.7 (analisi statistica): legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR) alla protezione del Servizio, alla prevenzione di abusi e al miglioramento dell'esperienza, nei limiti in cui i dati sono di natura statistica, non associati a un identificatore persistente e privi di profilazione individuale.
• Eventuali obblighi di legge (es. fiscali, contabili): adempimento di un obbligo legale (art. 6, par. 1, lett. c GDPR).

L'interessato ha il diritto di opporsi in qualsiasi momento al trattamento basato sul legittimo interesse scrivendo a privacy@amazed.tours.

I dati sono trattati con strumenti elettronici e informatici, mediante infrastrutture sviluppate e gestite da Amazed S.r.l. e dai propri Responsabili del trattamento, nel rispetto delle misure di sicurezza tecniche e organizzative previste dagli artt. 25 e 32 del GDPR.

In particolare, il Titolare adotta:

• cifratura dei dati in transito (HTTPS / TLS);
• cifratura dei dati a riposo nei database utilizzati;
• sistemi di rate limiting per prevenire abusi;
• accesso ai dati limitato al personale autorizzato e ai Responsabili del trattamento designati;
• politiche di Row Level Security sui database, che impediscono l'accesso non autorizzato ai dati anche in caso di compromissione di credenziali pubbliche.

I dati personali non saranno mai venduti né ceduti a terzi per finalità commerciali.

I dati potranno essere comunicati esclusivamente a soggetti che operano in qualità di Responsabili del trattamento ai sensi dell'art. 28 GDPR, sulla base di appositi contratti di nomina che garantiscono il rispetto del GDPR. In particolare:

• Vercel Inc. (Stati Uniti): hosting del sito e delle API.
• Supabase Inc. (Unione Europea, Francoforte): archiviazione delle risposte del sondaggio e degli iscritti alla waitlist del Sito.
• Upstash Inc. (Unione Europea / Stati Uniti): prevenzione abusi e controllo del traffico.
• Resend Inc. (Stati Uniti): invio email di servizio e comunicazioni operative.
• PostHog Inc. (Stati Uniti; istanza EU con trattamento dei dati a Francoforte, Germania): raccolta e analisi statistica dei dati di utilizzo. PostHog utilizza uno storage locale sul dispositivo dell'Utente (LocalStorage) con un identificatore pseudonimo che consente di correlare le interazioni durante una stessa sessione e tra sessioni diverse. Non vengono utilizzati cookie tradizionali. I dettagli sono forniti nella Cookie Policy.
• Keycloak (self-hosted su infrastruttura di Amazed S.r.l.): sistema di autenticazione e gestione dell'Account utente. Poiché il sistema è ospitato direttamente su infrastruttura del Titolare, non vi è comunicazione a soggetti terzi per questa finalità.
• Mapbox Inc. (Stati Uniti): fornitura delle mappe interattive utilizzate durante i Tour. Mapbox può ricevere l'indirizzo IP dell'Utente e informazioni sulla richiesta di mappa. I dati sono trattati secondo la privacy policy di Mapbox: https://www.mapbox.com/legal/privacy
• Stripe (per gli acquisti via web) e Apple / Google (per gli acquisti in-app): gestione dei pagamenti. Tali soggetti trattano i dati di pagamento in qualità di autonomi titolari o responsabili, secondo le rispettive informative privacy.
• Google Ireland Ltd. / Google LLC (Stati Uniti) — solo Sito: analisi statistica del traffico web tramite Google Analytics 4. I dati sono trattati secondo la privacy policy di Google: https://policies.google.com/privacy

Nota: alcuni dei servizi elencati sono indicati in vista della piena operatività dell'Applicazione e non sono attivi alla data della presente versione: in particolare gli acquisti in-app tramite Apple App Store e Google Play, che presuppongono l'app nativa non ancora rilasciata. L'elenco sarà aggiornato al lancio delle relative funzionalità.

I dati potranno inoltre essere comunicati a dipendenti e collaboratori di Amazed S.r.l. espressamente autorizzati, e ad autorità competenti ove richiesto da obbligo di legge.

L'elenco aggiornato dei Responsabili del trattamento è disponibile su richiesta scrivendo a privacy@amazed.tours.

Alcuni dei fornitori indicati al paragrafo 8 (in particolare Vercel, Resend, PostHog, Stripe e in parte Upstash) hanno sede negli Stati Uniti d'America o possono trattare dati al di fuori dello Spazio Economico Europeo. Per il trattamento dei dati di analytics tramite PostHog, l'archiviazione avviene nell'istanza EU del fornitore (Francoforte, Germania); la società madre rimane tuttavia soggetta alla giurisdizione statunitense.

In tutti i casi di trasferimento extra-UE, Amazed S.r.l. garantisce che il trasferimento avvenga nel rispetto degli artt. 44-49 del GDPR, mediante adeguate garanzie, in particolare:

• Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea con Decisione di esecuzione (UE) 2021/914;
• EU-US Data Privacy Framework, ove il fornitore vi abbia aderito;
• misure tecniche e organizzative supplementari, tra cui cifratura e pseudonimizzazione.

L'interessato può richiedere copia delle garanzie adottate scrivendo a privacy@amazed.tours.

• Dati del sondaggio: per il tempo strettamente necessario alle finalità e, in ogni caso, non oltre 24 mesi dalla raccolta.
• Dati della lista d'attesa: fino alla revoca del consenso o al completamento del lancio del prodotto, e comunque non oltre 24 mesi dall'iscrizione in assenza di interazioni.
• Dati dell'Account e di gioco: per tutta la durata dell'Account; in caso di cancellazione dell'Account, i dati sono cancellati o anonimizzati, salvo i dati che devono essere conservati per obblighi di legge (es. dati relativi agli acquisti per finalità fiscali e contabili, conservati per i termini di legge).
• Dati di geolocalizzazione: trattati solo durante la sessione di gioco e non conservati come storico di posizione oltre quanto necessario al funzionamento del gioco.
• Dati di sicurezza e log del server: non oltre 30 giorni, salvo necessità di indagine in caso di abusi.
• Dati di analytics statistico (PostHog): non oltre 12 mesi, decorsi i quali sono cancellati o anonimizzati in modo irreversibile.
• Dati per analisi statistiche aggregate e completamente anonimizzate, non più riconducibili all'interessato: conservabili per periodi più lunghi.

Decorsi i termini, i dati saranno cancellati o anonimizzati in modo irreversibile.

Il conferimento dei dati richiesti nel sondaggio è facoltativo; il mancato conferimento dei dati obbligatori comporta l'impossibilità di completare e inviare il sondaggio. Il campo e-mail nel sondaggio è opzionale.

Per l'iscrizione alla lista d'attesa, il conferimento dell'indirizzo e-mail è necessario.

Per l'utilizzo dell'Applicazione, il conferimento dei dati di registrazione è necessario per creare l'Account e fruire del Servizio; il mancato conferimento ne impedisce l'utilizzo. Il conferimento dei dati di geolocalizzazione è necessario per le funzionalità di gioco basate sulla posizione: in assenza di autorizzazione, tali funzionalità non sono disponibili.

Il Servizio è destinato a Utenti che abbiano compiuto 16 anni. Gli Utenti di età inferiore possono utilizzare il Servizio esclusivamente sotto la supervisione e con il consenso di un genitore o tutore. Qualora il Titolare venga a conoscenza di aver trattato dati di un minore in assenza di valido consenso, provvederà alla loro cancellazione.

L'interessato ha il diritto di:

• Accedere ai propri dati personali (art. 15 GDPR);
• Ottenere la rettifica dei dati inesatti o incompleti (art. 16 GDPR);
• Ottenere la cancellazione dei propri dati (art. 17 GDPR, diritto all'oblio);
• Richiedere la limitazione del trattamento (art. 18 GDPR);
• Ottenere la portabilità dei propri dati in formato strutturato e leggibile (art. 20 GDPR);
• Opporsi al trattamento basato su legittimo interesse (art. 21 GDPR);
• Revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca;
• Proporre reclamo all'Autorità Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — https://www.garanteprivacy.it).

Per esercitare i propri diritti l'interessato può scrivere a privacy@amazed.tours oppure tramite PEC a amazed@pec.it. Il Titolare risponderà entro 30 giorni dalla ricezione, prorogabili di ulteriori 60 giorni in caso di particolare complessità, dandone comunicazione all'interessato.

Il Titolare si riserva il diritto di modificare, aggiornare o integrare in qualsiasi momento la presente informativa, anche in funzione di evoluzioni normative o di modifiche del servizio. Le modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento. In caso di modifiche sostanziali, il Titolare potrà inviare notifica via email agli utenti che hanno fornito il proprio indirizzo.

Con l'invio del sondaggio, con l'iscrizione alla lista d'attesa, con la registrazione all'Applicazione o con l'attivazione delle funzionalità che richiedono il consenso, l'Utente dichiara di aver letto la presente informativa e presta, ove richiesto, il proprio consenso al trattamento dei dati personali per le finalità indicate, ai sensi dell'art. 6, par. 1, lett. a) del GDPR.

La presente informativa è redatta in lingua italiana. Le versioni in altre lingue sono traduzioni fornite per comodità dell'Utente. In caso di discrepanza, fa fede la versione italiana.