Informativa Privacy

1. Chi tratta i dati

Solito è il servizio raggiungibile su solitocard.it. Per qualsiasi richiesta sui tuoi dati scrivi a privacy@solitocard.it.

I ruoli sono due. Per i dati degli esercenti (chi apre un account) Solito è titolare del trattamento. Per i dati dei clienti finali (chi si iscrive alla tessera di un locale) il titolare è l'esercente che gestisce la tessera, e Solito tratta i dati per suo conto come responsabile del trattamento (art. 28 GDPR), oltre che in proprio per la sicurezza del servizio.

2. Dati trattati

• Esercenti: email e password dell'account (la password è conservata solo in forma cifrata), nome dell'attività, indirizzo del locale, logo e colore della tessera; telefono, partita IVA e codice fiscale solo se li inserisci, sono facoltativi.
• Clienti finali: indirizzo email, nome (solo se fornito), consensi espressi, timbri ricevuti e premi riscattati. Il codice di verifica inviato via email è conservato in forma cifrata e scade dopo 5 minuti.
• Dati tecnici: indirizzo IP e user agent del dispositivo dell'esercente al momento di ogni timbro e riscatto, a fini antifrode; identificativo del dispositivo e token di notifica forniti da Apple Wallet o Google Wallet quando la tessera viene aggiunta, necessari per aggiornarla; registro delle operazioni sull'account (audit log).

Non raccogliamo altri dati: nessun dato di localizzazione, nessuna rubrica, nessun tracciamento pubblicitario.

3. Finalità e basi giuridiche

• Esecuzione del contratto (art. 6.1.b GDPR): creare e gestire l'account dell'esercente, emettere e aggiornare la tessera del cliente, registrare timbri e premi, inviare le email di servizio (codice di verifica, benvenuto, conferma di cancellazione).
• Legittimo interesse (art. 6.1.f GDPR): prevenire frodi e abusi (per esempio timbri duplicati o codici richiesti in massa) e garantire la sicurezza del servizio.
• Consenso (art. 6.1.a GDPR): ricevere comunicazioni promozionali dall'esercente. Il consenso è chiesto con una casella separata al momento dell'iscrizione, non è obbligatorio per avere la tessera ed è revocabile in ogni momento scrivendo all'esercente o a privacy@solitocard.it.

4. Conservazione

I dati del cliente finale restano finché la tessera è attiva. Quando il cliente elimina la tessera, i suoi dati personali, i timbri e i codici di verifica vengono cancellati subito; resta solo una riga nel registro delle operazioni con il numero di serie della tessera, senza dati personali. Quando un esercente elimina l'account, vengono cancellati l'attività, tutti i suoi clienti, le tessere, i timbri e il registro delle operazioni.

5. I tuoi diritti

Puoi esercitare in ogni momento i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità (artt. 15-22 GDPR) scrivendo a privacy@solitocard.it. Se non sei soddisfatto della risposta puoi rivolgerti al Garante per la protezione dei dati personali.

Come cliente finale puoi eliminare la tua tessera da solo, senza contattare nessuno: apri la pagina web della tessera (dal pass nel wallet, voce «Apri la tessera nel browser») e usa il pulsante «Elimina la mia tessera». Come esercente puoi eliminare l'account dalla pagina Impostazioni.

6. Fornitori (sub-responsabili)

Per erogare il servizio ci appoggiamo a questi fornitori, vincolati da contratti che rispettano l'art. 28 GDPR:

• Supabase (database e autenticazione, server nell'Unione Europea)
• Vercel (hosting dell'applicazione)
• Resend (invio delle email di servizio e dei codici di verifica)
• Google LLC (Google Wallet)
• Apple Inc. (Apple Wallet)

Alcuni di questi fornitori hanno sede negli Stati Uniti: il trasferimento avviene sulla base delle clausole contrattuali standard approvate dalla Commissione Europea o del Data Privacy Framework UE-USA, a seconda del fornitore.

7. Cookie

Il sito usa solo i cookie tecnici necessari a mantenere la sessione dell'esercente dopo il login. Non usiamo cookie di profilazione né strumenti di analisi di terze parti.

Quando un cliente verifica la propria email per vedere le sue tessere, il sito salva sul suo dispositivo un cookie tecnico che dura 30 giorni: serve solo a non chiedergli il codice a ogni visita. Può eliminarlo quando vuole con «Non sei tu? Esci» nella pagina delle tessere.