Informativa privacy

Adelchi Brignoli — C.F. BRGDCH89M13F119Y, Via Mozart 18, 20050 Liscate (MI). Per qualsiasi richiesta sui dati: amministrazione@gateaway.world.

Dati dei consulenti (utenti registrati; GateAway è Titolare autonomo): email e credenziali di accesso (anche tramite Google, se usi l'accesso Google); nome e dati dell'agenzia (telefono, sito, social, logo); dati di utilizzo e log tecnici; prova dei consensi prestati (data, ora, indirizzo IP, user agent). I dati di pagamento degli abbonamenti sono gestiti direttamente da Lemon Squeezy (Merchant of Record), che non ci trasmette i dati della carta.

Dati dei viaggiatori (inseriti dal consulente; GateAway è Responsabile per conto del consulente — disciplina di dettaglio nel DPA, art. 28): nome, composizione del gruppo, dettagli del viaggio ed eventuali documenti caricati, che possono contenere dati personali — inclusi documenti d'identità o altri dati particolari. Rispetto a questi dati GateAway agisce come Responsabile del trattamento per conto del consulente, che ne è il Titolare. GateAway mette a disposizione lo spazio di caricamento ma non esamina, classifica né filtra il contenuto dei documenti: spetta al consulente valutarne natura, base giuridica e adeguatezza, anche quando includano dati particolari (art. 9 GDPR). GateAway tratta i contenuti caricati come potenzialmente di categoria particolare e vi applica misure di sicurezza adeguate; spetta a chi carica disporre di una valida condizione ex art. 9.2 GDPR (es. consenso esplicito dell'interessato) ed evitare di caricare dati particolari non necessari.

Se usi GateAway come privato— per organizzare i tuoi viaggi e condividerli con i compagni — il trattamento dei tuoi dati per scopi esclusivamente personali può rientrare nell'esenzione domestica (art. 2.2.c GDPR). Resta però tua responsabilità avere una base giuridica e informare gli interessati quando carichi o condividi dati di terzi (es. i documenti dei compagni), perché ciò può eccedere l'ambito domestico. In ogni caso GateAway è Titolare autonomo per i dati del tuo account, la sicurezza e l'infrastruttura.

Per erogare il servizio ed eseguire il contratto (art. 6.1.b); per la sicurezza e la prevenzione di abusi e per statistiche di traffico aggregate (legittimo interesse, art. 6.1.f); per adempiere a obblighi di legge (art. 6.1.c); per gestire gli abbonamenti e i relativi pagamenti (contratto). Inviamo inoltre comunicazioni di servizio e messaggi di onboarding sul prodotto (benvenuto, promemoria, avvisi) sulla base del legittimo interesse (art. 6.1.f): puoi opporti a queste comunicazioni in qualsiasi momento tramite il link di disiscrizione in fondo a quelle email o scrivendo a amministrazione@gateaway.world. Per i dati dei viaggiatori, la base giuridica è individuata dal consulente in qualità di Titolare.

Se il consulente usa la funzione di generazione automatica, il testo o il PDF forniti — che possono contenere dati personali dei viaggiatori — vengono inviati a Google (API Gemini) per produrre l'itinerario, per questa sola finalità. Sul livello a pagamento dell'API Gemini, Google non utilizza tali dati per addestrare o migliorare i propri modelli (cfr. termini dell'API Gemini). Il trattamento può comportare un trasferimento verso gli Stati Uniti, regolato da garanzie adeguate (Clausole Contrattuali Standard e, ove applicabile, l'adeguatezza EU-US Data Privacy Framework; puoi richiederne copia). La funzione è facoltativa: se non la usi, nessun dato viene inviato a Google.

Gli itinerari si condividono tramite un link privato con un codice univoco e non indovinabile, non indicizzato dai motori di ricerca. Chiunque disponga del link può vedere l'itinerario senza autenticazione: spetta al consulente condividerlo solo con i destinatari. Il link ha una scadenza ed è revocabile in qualsiasi momento. I documenti allegati al viaggio viaggiano con il link e sono accessibili solo a chi lo possiede, dopo la verifica del token.

Diversamente dal link privato, la vetrina pubblica (facoltativa, attivata dall'utente) rende l'itinerario visibile a chiunque e indicizzabile dai motori di ricerca. Alla pubblicazione il sistema rimuove automaticamente i campi identificativi (nome del cliente, date reali, documenti, note private), esponendo solo la struttura del viaggio e i dati pubblici del creatore (nome/insegna, logo, contatti, social) che l'utente sceglie di mostrare per la propria promozione. Il sistema controlla inoltre i testi liberi (titoli, descrizioni, consigli) e avvisa il creatore se rileva possibili dati di prenotazione (codici, PIN, numeri di telefono) prima di pubblicare; la rimozione di tali dati e la verifica finale restano responsabilità del creatore. Le valutazioni (stelle) di chi importa un itinerario sono trattate per calcolarne la media mostrata in vetrina; l'identità di chi vota non è resa pubblica. L'utente può ritirare l'itinerario dalla vetrina in qualsiasi momento.

Ci avvaliamo di fornitori che agiscono come responsabili (o sub-responsabili) del trattamento: Vercel (hosting e infrastruttura di calcolo dell'applicazione — elaborazione delle richieste, generazione delle pagine e consegna dei documenti — e statistiche di traffico aggregate e senza cookie né profilazione tramite Vercel Web Analytics e Speed Insights); Supabase (database e file, server nell'Unione Europea); Google (Gemini, solo se usi l'AI, e Google Maps/Places, solo nell'editor quando cerchi il luogo esatto di una tappa); Open-Meteo (previsioni meteo del giorno a partire dalla località indicata: riceve solo la città, non i dati del viaggiatore); Resend (invio delle email di servizio e di ciclo di vita: benvenuto, reimpostazione password, avvisi di onboarding e di inattività); Sentry (monitoraggio degli errori tecnici, server nell'Unione Europea): riceve solo dati tecnici di errore ed eventuali identificatori interni (es. ID utente/viaggio), per configurazione non riceve indirizzi IP, cookie né i contenuti degli itinerari, e serve unicamente a mantenere l'app stabile e sicura (nostro legittimo interesse). I pagamenti degli abbonamenti sono gestiti da Lemon Squeezy (Merchant of Record), che agisce come titolare autonomo del trattamento per fatturazione e pagamenti e non ha accesso ai dati dei viaggiatori. Non vendiamo i dati a terzi.

Database e documenti sono archiviati a riposo su Supabase nell'Unione Europea. Alcuni fornitori possono però trattare dati anche negli Stati Uniti — Vercel (hosting/calcolo e statistiche), Google (Gemini e Maps), Resend (email) — in presenza di garanzie adeguate (Clausole Contrattuali Standard e, ove applicabile, adeguatezza EU-US Data Privacy Framework); puoi richiederne copia. Open-Meteo tratta i dati all'interno dell'Unione Europea.

Account e dati del consulente: per tutta la durata dell'account; alla cancellazione, i dati sono rimossi entro 30 giorni. Itinerari e documenti dei viaggiatori: fino alla cancellazione del viaggio o dell'account da parte del consulente. In caso di account inattivo (nessun accesso) per oltre 24 mesi, inviamo un preavviso via email e, trascorsi ulteriori 30 giorni senza accesso, l'account e i dati correlati vengono cancellati definitivamente, salvo i dati necessari per obblighi di legge. Log tecnici e di sicurezza: 6–12 mesi. Prova dei consensi: per la durata dell'account e per il tempo necessario alla difesa in giudizio. Dati di fatturazione: per i termini previsti dagli obblighi fiscali e contabili.

Puoi esercitare in ogni momento i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, e revocare i consensi prestati. Hai inoltre diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it). Per esercitare i diritti scrivi a amministrazione@gateaway.world.

Diritto di opposizione: quando trattiamo i tuoi dati sulla base del legittimo interesse (art. 6.1.f, es. sicurezza e prevenzione abusi), hai diritto di opporti in qualsiasi momento per motivi connessi alla tua situazione particolare, scrivendo a amministrazione@gateaway.world (art. 21 GDPR).

Nessun processo decisionale automatizzato: GateAway non adotta decisioni basate unicamente su trattamento automatizzato, né attività di profilazione degli utenti (artt. 13.2.f e 22 GDPR).

Possiamo aggiornare questa informativa; le modifiche rilevanti saranno comunicate tramite il servizio o via email.