Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Cooperiamo Insieme Cooperativa Sociale — P.I. 02812020598, nell'ambito del progetto La Riviera d'Ulisse — DMO, con sede in Largo Jacopo Peri, 70 — 04100 Latina (LT), Italia.

• Email per questioni privacy: info@latinaturismo.it
• Telefono: +39 0773 480672

Non è stato nominato un Responsabile della protezione dei dati (DPO): abbiamo verificato uno per uno i tre presupposti dell'art. 37.1 GDPR (ultima valutazione documentata il 16 settembre 2026) e nessuno ricorre, quindi la nomina non è obbligatoria. Pur non essendo obbligatorio, il Titolare ha designato un Referente privacy interno (deliberazione del Titolare del 15 settembre 2026) come punto di contatto interno per ogni questione di protezione dei dati: primo punto di riferimento per richieste degli interessati, aggiornamento delle informative, registro dei trattamenti e coordinamento delle revisioni periodiche. È raggiungibile ai contatti sopra indicati; la valutazione è ripetuta a ogni revisione periodica dell'informativa e al cambiare dei trattamenti: se un presupposto iniziasse a ricorrere, il DPO sarà nominato prima del nuovo trattamento e comunicato al Garante (art. 37 GDPR).

2. Dati trattati, finalità e basi giuridiche

Per ogni attività di trattamento indichiamo la finalità, i dati usati, la base giuridica ai sensi dell'art. 6.1 GDPR con la relativa motivazione, il tempo di conservazione e i destinatari. Dove la base è il consenso, il trattamento inizia solo dopo la tua scelta ed è revocabile in qualsiasi momento; dove è il legittimo interesse, riportiamo il bilanciamento effettuato e puoi opporti scrivendo ai contatti indicati sopra.

Non svolgiamo profilazione pubblicitaria, non effettuiamo decisioni automatizzate con effetti giuridici sugli interessati e non trattiamo categorie particolari di dati (art. 9 GDPR). Il servizio non è destinato a minori di 14 anni.

3. Assistente per itinerari basato su intelligenza artificiale

Latina Viaggi usa un sistema di intelligenza artificiale per generare, su richiesta, proposte di itinerario a partire da destinazione, periodo, partecipanti, interessi, budget ed esigenze inserite dall'utente. L'output è una proposta informativa da verificare: non conferma disponibilità o prezzi, non conclude contratti e non prende decisioni con effetti giuridici sulla persona.

I dati inviati all'assistente sono trattati per fornire la proposta richiesta (art. 6.1.b GDPR). Chiediamo di non inserire dati sanitari o altre informazioni particolarmente delicate. Le richieste sono trasmesse al fornitore tecnologico indicato nella tabella delle terze parti e l'itinerario può essere salvato nell'account per consentirne la consultazione. Non usiamo questi contenuti per pubblicità o profilazione.

4. Destinatari e fornitori

I dati sono trattati dal personale autorizzato e dai fornitori elencati qui sotto, che agiscono come responsabili del trattamento (art. 28 GDPR) salvo dove indicato diversamente. Il fornitore dei pagamenti agisce come titolare autonomo per i dati di pagamento: non riceviamo né conserviamo i dati completi della carta.

Ci avvaliamo inoltre di consulenti contabili e fiscali per gli adempimenti di legge. Non vendiamo dati e non li condividiamo per finalità pubblicitarie.

4 ter. Trasferimenti di dati fuori dall'UE

Alcuni fornitori elencati al punto 4 trattano i dati anche negli Stati Uniti o in altri paesi extra UE. In questi casi il trasferimento avviene solo se coperto da una delle garanzie previste dagli artt. 44-49 GDPR:

• Decisione di adeguatezza della Commissione europea (art. 45 GDPR), incluso il Data Privacy Framework UE-USA per i fornitori certificati.
• Clausole contrattuali standard approvate dalla Commissione europea (art. 46.2.c GDPR), integrate da misure supplementari ove necessarie.

La colonna "Luogo" della tabella dei fornitori indica, per ciascun servizio, dove i dati possono essere trattati e la garanzia applicata. I dati principali dell'account e dei contenuti restano nell'Unione Europea. Puoi chiedere una copia delle garanzie applicate scrivendo a info@latinaturismo.it.

4 quater. Dati non raccolti presso l'interessato (art. 14 GDPR)

In alcuni casi trattiamo dati che ci arrivano da altre persone e non direttamente da te:

• Contatti nel carpooling: chi organizza un evento o offre un passaggio può indicare un recapito visibile agli altri partecipanti. Se sei stato indicato come contatto senza aver creato un account, i tuoi dati provengono da chi ha inserito la richiesta e sono usati solo per metterti in contatto con i partecipanti.
• Segnalazioni su eventi o partner: chi segnala un contenuto può indicare dati identificativi dell'autore. Li usiamo solo per gestire la segnalazione.

In questi casi i dati provengono dall'utente che li ha inseriti; valgono le stesse finalità, basi giuridiche, tempi di conservazione e diritti descritti in questa informativa, che ti viene resa al più tardi al primo contatto o alla prima comunicazione dei dati, e comunque entro un mese dalla raccolta (art. 14.3 GDPR).

4 bis. Cookie e memorie locali

Elenco completo di cookie e archiviazione locale, con categoria e durata. Il dettaglio delle categorie e la gestione del consenso sono nella cookie policy. Le categorie non necessarie si attivano solo dopo la tua approvazione e puoi revocarla in ogni momento dalle preferenze privacy.

5. Tempi di conservazione

• Account e profilo: per la durata dell'account e 12 mesi dalla cancellazione, per gestire contestazioni.
• Richieste di viaggio, iscrizione, disponibilità e preventivi: 24 mesi dall'ultimo contatto.
• Itinerari personalizzati salvati: per la durata dell'account o fino alla cancellazione da parte dell'utente.
• Prenotazioni, ordini, pagamenti e ricevute: 10 anni, come richiesto dalla normativa fiscale.
• Richieste di passaggio carpooling: 6 mesi dall'evento.
• Candidature partner: 24 mesi in caso di esito negativo, per la durata del rapporto in caso positivo.
• Log tecnici e di sicurezza: fino a 12 mesi.
• Preferenze nel browser: fino a 12 mesi o fino alla cancellazione da parte tua.

6. I tuoi diritti

Puoi esercitare in qualsiasi momento i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità (artt. 15-22 GDPR), oltre alla revoca dei consensi prestati.

• Il canale dedicato è il modulo per l'esercizio dei diritti: selezioni i diritti che vuoi esercitare, ricevi conferma per email e la risposta entro 30 giorni. È utilizzabile anche senza account.
• Dall'area Il mio account puoi scaricare una copia dei tuoi dati in formato JSON e richiedere la cancellazione dell'account.
• Puoi aggiornare in ogni momento le preferenze cookie e privacy.
• In alternativa, con lo stesso valore, scrivi all'email dedicata info@latinaturismo.it: rispondiamo entro 30 giorni.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o di ricorrere all'autorità giudiziaria.

7. Sicurezza

Adottiamo misure tecniche e organizzative adeguate (art. 32 GDPR) descritte nella pagina Sicurezza e misure di protezione: cifratura del traffico, controllo degli accessi per ruolo, segregazione dei dati a livello di database, log di audit, backup e procedura di gestione degli incidenti con notifica entro 72 ore ove richiesta.

7 bis. Violazioni di dati (artt. 33-34 GDPR)

In caso di violazione di dati personali adottiamo una procedura interna documentata che prevede il contenimento, la valutazione del rischio e, ove la violazione comporti un rischio per i diritti e le libertà degli interessati, la notifica al Garante per la protezione dei dati entro 72 ore dal momento in cui ne veniamo a conoscenza (art. 33 GDPR). Se la violazione comporta un rischio elevato, comunichiamo gli estremi dell'incidente agli interessati senza ingiustificato ritardo, in linguaggio chiaro e semplice, con le possibili conseguenze e le misure adottate (art. 34 GDPR). La comunicazione agli interessati non è dovuta quando i dati erano resi inintelligibili da misure di protezione adeguate (ad esempio cifratura) o quando il rischio elevato è stato eliminato da misure successive. Ogni violazione, anche non notificata, è registrata in un registro interno conservato per almeno 5 anni e reso disponibile al Garante su richiesta.

7 ter. Consigli personalizzati e valutazione d'impatto (art. 35 GDPR)

I consigli personalizzati sono attivi solo se presti il consenso specifico dall'area account: creano un profilo delle tue preferenze di evento (categoria, città e periodo degli eventi che salvi o apri) per suggerirti iniziative affini. Prima di attivare questa finalità abbiamo svolto una valutazione d'impatto sulla protezione dei dati (art. 35 GDPR) per individuare e ridurre i rischi residui.

• Il profilo usa solo categorie, destinazioni e periodi dei contenuti consultati: nessun dato di pagamento, nessun contenuto dei messaggi, nessun identificativo pubblicitario.
• Le categorie potenzialmente sensibili (ad esempio religiose o politiche) sono escluse dal calcolo dei suggerimenti e non generano segmenti.
• Nessuna decisione automatizzata con effetti giuridici, nessun prezzo o disponibilità differenziati, nessuna pubblicità comportamentale, nessuna cessione del profilo.
• Catalogo, filtri e ricerca restano sempre completi e non ordinati dal profilo: senza consenso il servizio funziona in modo identico.
• Revocando il consenso la personalizzazione si disattiva subito e i segnali di preferenza usati per i suggerimenti vengono eliminati.

Esito della valutazione: rischio residuo basso, senza necessità di consultazione preventiva del Garante (art. 36 GDPR). La valutazione è riesaminata ogni anno e comunque prima di introdurre intelligenza artificiale, punteggi automatici, incroci con dati di terzi, pubblicità comportamentale, prezzi personalizzati o profilazione di minori.

Abbiamo inoltre esaminato uno per uno tutti i trattamenti elencati nel registro qui sotto, per stabilire quali richiedano una valutazione d'impatto: la decisione e la relativa motivazione sono documentate per ciascuna attività e riesaminate ogni anno, oltre che a ogni nuovo trattamento o modifica sostanziale. L'unica attività che richiede la valutazione è quella dei consigli personalizzati, già svolta; la richiesta di passaggio in auto (carpooling) è stata valutata in via prudenziale. Nessun trattamento richiede la consultazione preventiva del Garante (art. 36 GDPR).

Abbiamo poi valutato l'effetto combinato di account, dati che raccogliamo per gli organizzatori, posizione e suggerimenti personalizzati, perché insieme potrebbero dire molto di te. Le garanzie sono queste: i dati restano separati per finalità e non creiamo un profilo unico; la posizione resta sul tuo dispositivo e non viene salvata; all'organizzatore arrivano solo i dati della tua richiesta; le categorie delicate non entrano nei suggerimenti; ogni consenso è separato, revocabile e il servizio funziona identico senza; puoi vedere, esportare e cancellare i tuoi dati dall'area account. Nessuna decisione su di te è presa automaticamente. Esito anche in questo caso: rischio basso, senza necessità di consultare il Garante.

7 quater. Trasferimenti di dati fuori dall'Unione europea (artt. 44-49 GDPR)

Abbiamo mappato tutti i casi in cui un dato può essere trattato fuori dallo Spazio economico europeo e per ognuno abbiamo verificato la garanzia che lo rende legittimo. Account, richieste, prenotazioni, immagini e log applicativi sono ospitati nell'Unione europea. La contabilità resta in Italia. I collegamenti a servizi esterni di mobilità non trasmettono automaticamente alcun dato.

• Hosting, funzioni del sito ed email di servizio (UE e Stati Uniti): accordo sul trattamento con clausole contrattuali standard dell'Unione europea, traffico cifrato, cifratura a riposo, accessi del fornitore limitati e tracciati.
• Pagamenti (UE e Stati Uniti): fornitore aderente al Data Privacy Framework UE-USA, coperto dalla decisione di adeguatezza della Commissione europea, con clausole contrattuali standard in aggiunta. I dati della carta non passano dai nostri sistemi.
• Accesso con account Google, caratteri tipografici e calendario pubblico (UE e Stati Uniti): fornitore aderente al Data Privacy Framework UE-USA. L'accesso con Google è una tua scelta: puoi sempre registrarti con email e password.
• Mappe (UE e Regno Unito): il Regno Unito è coperto da una decisione di adeguatezza. Le mappe si caricano solo se acconsenti alla categoria «Mappe»: senza consenso nessun dato parte.

Non usiamo mai le deroghe eccezionali dell'art. 49 come base ordinaria. Prima di attivare un nuovo fornitore verifichiamo la garanzia applicabile; rifacciamo la verifica ogni anno e subito se una decisione di adeguatezza viene sospesa, se un fornitore cambia i luoghi di trattamento o se un'autorità di un paese terzo chiede accesso ai dati. Puoi chiedere copia delle garanzie in essere scrivendo al contatto privacy indicato in questa informativa.

7 quinquies. Dati minimi richiesti nei moduli (art. 5.1.c GDPR)

Ogni modulo chiede solo i dati che servono davvero alla finalità dichiarata. I campi obbligatori sono contrassegnati da un asterisco (*), tutti gli altri sono indicati come facoltativi e puoi lasciarli vuoti senza perdere il servizio.

• Creazione account: solo email e password. Nome e telefono non sono richiesti; i consensi marketing sono tre voci separate e sempre facoltative.
• Richiesta di viaggio o preventivo: nome, email e telefono, perché il partner deve sapere a chi risponde e come concordare date e dettagli del viaggio. Le note sono facoltative.
• Candidatura come partner: dati dell'attività o personali, contatti, tipologia, località, servizi e dichiarazioni richieste. I campi obbligatori cambiano in base alla tipologia e alla presenza o meno della partita IVA.
• Richiesta di modifica di una proposta: cosa vuoi cambiare, nome ed email. Telefono, data e numero di invitati sono facoltativi.
• Scheda pubblica del partner: presentazione, città, un contatto e almeno una foto. Sito, social, WhatsApp e didascalie sono facoltativi.
• Richiesta privacy: tipo di richiesta, nome ed email per la risposta. Telefono e dettagli sono facoltativi.

Le funzioni che non richiedono un modulo non raccolgono dati identificativi: il assistente per l'itinerario usa solo le preferenze che inserisci (destinazioni, periodo, partecipanti, interessi e budget), e il servizio di carpooling è gestito da un sito esterno con la sua informativa.

Non chiediamo documenti d'identità, dati di pagamento fuori dal circuito sicuro del fornitore, né dati su salute, opinioni o convinzioni. Se in futuro un modulo dovesse chiedere un dato in più, ne aggiorniamo prima questa informativa.

7 sexies. Verifica periodica dei fornitori (art. 28 GDPR)

I fornitori elencati in questa informativa non sono controllati una volta sola: li riverifichiamo a scadenze fisse. Chi può trattare dati fuori dall'Unione europea viene controllato almeno ogni sei mesi, gli altri almeno una volta l'anno.

Ad ogni verifica controlliamo che:

• il contratto che li vincola alle nostre istruzioni sia in vigore e aggiornato;
• la garanzia che permette il trasferimento fuori dall'Unione europea sia ancora valida (accordo riconosciuto dalla Commissione europea o clausole contrattuali standard);
• non siano stati aggiunti nuovi fornitori a valle senza la nostra autorizzazione;
• le misure di sicurezza dichiarate siano ancora adeguate;
• si impegnino a segnalarci subito eventuali violazioni e ad aiutarci quando esercíti i tuoi diritti;
• i tempi di conservazione e la cancellazione al termine del servizio siano rispettati.

Facciamo un controllo immediato, senza attendere la scadenza, se un fornitore cambia i luoghi di trattamento, aggiunge un fornitore a valle, subisce un incidente, oppure se un accordo internazionale viene sospeso o rivisto. Se una garanzia viene a mancare sospendiamo il trasferimento e, se non troviamo un'alternativa, disattiviamo il servizio prima di riattivarlo con nuove tutele. L'ultima verifica completa è del 16 settembre 2026: nessuna garanzia risultava scaduta. Puoi chiederne conto scrivendo al contatto privacy.

8. Sicurezza dei dati dell'app

Riepilogo in chiaro, con lo stesso schema usato dalle schede "Sicurezza dei dati" degli store per app: è la sintesi di quanto descritto sopra, valida anche quando installi Latina Viaggi sulla schermata Home.

• Dati raccolti: email e nome quando crei un account; contenuti delle richieste di evento e prenotazioni; indirizzo email per le comunicazioni di servizio; log tecnici di sicurezza.
• Dati non raccolti: rubrica, contatti, foto, file, microfono, fotocamera, cronologia di navigazione fuori dal sito, identificativi pubblicitari.
• Posizione: usata solo se la attivi tu con «Vicino a me», e solo dopo un consenso esplicito e informato (art. 6.1.a GDPR) richiesto con una finestra dedicata prima di accedere alla posizione. La posizione resta sul dispositivo, non viene inviata ai nostri sistemi né conservata. Puoi revocare il consenso in qualsiasi momento rimuovendo il filtro «Vicino a me».
• Condivisione con terzi: solo con i fornitori necessari al servizio (hosting, database, email, pagamenti, mappe) elencati al punto 4. Nessuna vendita dei dati, nessuna condivisione per pubblicità o profilazione.
• Pagamenti: gestiti dal fornitore dei pagamenti. Non riceviamo né conserviamo i dati completi della carta.
• Sicurezza: traffico cifrato in transito (HTTPS), dati cifrati a riposo presso i fornitori, accessi per ruolo e log di audit.
• Cancellazione: puoi chiedere la cancellazione dell'account e dei dati collegati dall'area Il mio account o scrivendo a info@latinaturismo.it.
• Permessi del dispositivo: l'app non chiede notifiche, non accede ai sensori e non funziona in background.

9. Modifiche

Questa informativa può essere aggiornata per esigenze normative o funzionali. Le modifiche rilevanti vengono segnalate nel sito e, quando riguardano i consensi, ti verrà richiesta una nuova scelta. Ultimo aggiornamento: 21 settembre 2026.

10. Revisione periodica dell'informativa

Questa informativa viene riesaminata almeno una volta ogni 12 mesi e, senza attendere la scadenza annuale, ogni volta che cambia qualcosa di rilevante nei trattamenti. Le modifiche che riguardano i consensi comportano una nuova richiesta di scelta.

Ultima revisione

16 settembre 2026 — revisione straordinaria

Prossima revisione ordinaria

entro il 16 settembre 2027

Responsabile della revisione

Titolare del trattamento — Cooperiamo Insieme Cooperativa Sociale

Casi in cui aggiorniamo subito, senza attendere l'anno

• Nuova funzionalità che raccoglie, mostra o incrocia dati personali.
• Nuovo fornitore esterno o cambio di fornitore, sede o sub-responsabile.
• Nuova categoria di cookie, di consenso o nuova finalità di trattamento.
• Cambio di base giuridica, di tempi di conservazione o di destinatari.
• Introduzione di profilazione, decisioni automatizzate o strumenti di AI sui dati.
• Violazione di dati personali o segnalazione dell'autorità di controllo.
• Nuove norme, linee guida o provvedimenti del Garante applicabili al servizio.

Storico delle revisioni

• 16 settembre 2026 — revisione straordinaria

  Verificata la conformità dei fornitori terzi e la persistente validità delle garanzie dichiarate per i trasferimenti extra SEE (art. 28 e Capo V GDPR).

  • Creato il registro delle verifiche `src/lib/vendor-audits.ts` con controlli svolti, fonti, esito e azioni aperte per tutti i nove fornitori mappati.
  • Fissata la cadenza: semestrale per i fornitori con dati fuori dallo Spazio economico europeo, annuale per gli altri.
  • Confermate valide le clausole contrattuali standard e le certificazioni al Data Privacy Framework; nessun sub-responsabile extra SEE non autorizzato.
  • Aggiunta all'informativa privacy la sezione «7 sexies. Verifica periodica dei fornitori» e creato il documento interno `docs/verifica-fornitori-art28.md`.
  • Attivato un controllo automatico che blocca la build se un fornitore della mappa dei trasferimenti resta senza verifica o senza controllo della garanzia.

• 16 settembre 2026 — revisione straordinaria

  Verificata la minimizzazione dei dati richiesti dai moduli e resa evidente la distinzione fra campi obbligatori e facoltativi (art. 5.1.c GDPR).

  • Creato il registro `src/lib/data-minimization.ts` con campi, obbligatorietà e finalità per i cinque moduli che raccolgono dati personali.
  • Introdotti marcatori condivisi (asterisco per i campi obbligatori, dicitura «facoltativo» per gli altri) e una legenda in ogni modulo.
  • Confermato che la creazione account richiede solo email e password e che nome e telefono nell'area account sono facoltativi.
  • Aggiunta all'informativa privacy la sezione «7 quinquies. Dati minimi richiesti nei moduli» e creato il documento interno `docs/minimizzazione-moduli-art5.md`.
  • Attivato un controllo automatico che blocca la build se un campo resta senza finalità o se un modulo supera quattro campi obbligatori.

• 16 settembre 2026 — revisione straordinaria

  Mappati tutti i trasferimenti di dati verso paesi terzi e verificata l'esistenza di garanzie adeguate (artt. 44-49 GDPR).

  • Creata la mappa strutturata dei trasferimenti `src/lib/data-transfers.ts` con destinatario, paesi, dati, attività collegate, strumento di garanzia, prova e valutazione del trasferimento.
  • Verificato che ogni trasferimento extra SEE è coperto da decisione di adeguatezza (EU-US Data Privacy Framework, adeguatezza Regno Unito) o da clausole contrattuali standard UE 2021/914; nessuna deroga dell'art. 49 in uso.
  • Confermato che account, richieste, ordini, immagini e log restano ospitati nell'Unione europea e la contabilità in Italia.
  • Aggiunta all'informativa privacy la sezione «7 quater. Trasferimenti di dati fuori dall'Unione europea» e creato il documento interno `docs/trasferimenti-extra-ue-art44-49.md`.
  • Definiti gli eventi che impongono di rifare la mappatura e attivato un controllo automatico che blocca la build se un trasferimento resta senza garanzia documentata.

• 16 settembre 2026 — revisione straordinaria

  Verificato e documentato se sussiste l'obbligo di nominare il Responsabile della Protezione dei Dati (art. 37 GDPR).

  • Valutati uno per uno i tre presupposti dell'art. 37.1 con motivazione scritta: nessuno ricorre, la nomina del DPO non è obbligatoria.
  • Creata la valutazione strutturata `src/lib/dpo-assessment.ts` e il documento `docs/valutazione-dpo-art37.md` con decisione, motivi e riesame annuale.
  • Confermata la designazione volontaria di un Referente privacy interno come punto di contatto per interessati e autorità.
  • Definiti gli eventi che impongono di rifare la valutazione prima della scadenza e, in caso di obbligo futuro, nomina e comunicazione al Garante prima del nuovo trattamento.

• 16 settembre 2026 — revisione straordinaria

  Svolta la valutazione d'impatto sull'effetto combinato di account, dati raccolti per gli organizzatori, localizzazione e personalizzazione (art. 35 GDPR).

  • Creata la valutazione `src/lib/dpia-combined.ts` con nove rischi da aggregazione, le misure adottate e le garanzie strutturali.
  • Aggiunto al documento `docs/dpia-latinaeventi.md` il § 4 ter con la tabella dei rischi combinati e l'esito.
  • Aggiunta all'informativa privacy la spiegazione in chiaro dell'effetto combinato e delle garanzie applicate.
  • Confermata l'assenza di profilo unificato, di decisioni automatizzate e la non necessità di consultazione preventiva del Garante.

• 16 settembre 2026 — revisione straordinaria

  Valutata e documentata, per ciascun trattamento del registro, la necessità di una valutazione d'impatto sulla protezione dei dati (art. 35.1 GDPR).

  • Creata la valutazione preliminare `src/lib/dpia-screening.ts` con i criteri WP248 rev.01, l'esito e la motivazione per tutte le 12 attività del registro.
  • Aggiunto al documento `docs/dpia-latinaeventi.md` il § 1 bis con la tabella di screening e l'esito complessivo.
  • Precisato nell'informativa privacy che tutti i trattamenti sono stati esaminati e che la decisione è documentata e riesaminata ogni anno.
  • Confermato che la sola DPIA obbligatoria riguarda i consigli personalizzati, già svolta, e che nessun trattamento richiede la consultazione preventiva del Garante.

• 15 settembre 2026 — revisione straordinaria

  Documentata la procedura di notifica delle violazioni di dati personali al Garante entro 72 ore e agli interessati in caso di rischio elevato (artt. 33-34 GDPR).

  • Creata la procedura interna `docs/notifica-violazioni-art33-34.md` con fasi, tempi, responsabilità, criteri di valutazione del rischio, contenuto della notifica, eccezioni e registro delle violazioni.
  • Aggiunta all'informativa privacy la sezione «7 bis. Violazioni di dati» con i termini di notifica al Garante e di comunicazione agli interessati.
  • Aggiornata la pagina `/sicurezza` con il dettaglio delle notifiche previste e i termini di legge.
  • Aggiornato il registro dei trattamenti con il riferimento alla procedura di gestione delle violazioni.

• 15 settembre 2026 — revisione straordinaria

  Introdotto il consenso esplicito e informato alla geolocalizzazione «Vicino a me» (art. 6.1.a GDPR), richiesto prima di accedere alla posizione del dispositivo.

  • Attivazione di «Vicino a me» subordinata a una finestra di consenso informato: finalità, elaborazione solo sul dispositivo, base giuridica e revoca.
  • Il consenso è registrato sul dispositivo con data e versione dell'informativa; rimuovere il filtro «Vicino a me» lo revoca e fa riproporre la richiesta.
  • Aggiunta al registro dei trattamenti e all'informativa privacy l'attività «Geolocalizzazione Vicino a me» con base giuridica art. 6.1.a.

• 15 settembre 2026 — revisione straordinaria

  Valutazione della nomina del DPO ex art. 37 GDPR e designazione di un punto di contatto interno per la privacy.

  • Rivalutati i presupposti dell'art. 37 GDPR: confermata la non obbligatorietà della nomina del DPO.
  • Designato un Referente privacy interno come punto di contatto per le questioni di protezione dei dati, reso pubblico nell'informativa.
  • Previsto il riesame della nomina a ogni revisione periodica o al cambiare dei trattamenti.

• 15 settembre 2026 — revisione straordinaria

  Valutazione d'impatto (art. 35 GDPR) sui «consigli personalizzati»: profilazione delle preferenze di evento basata su consenso.

  • Svolta e documentata la valutazione d'impatto dedicata alla personalizzazione, con sette rischi analizzati, misure e rischio residuo basso.
  • Aggiunta all'informativa privacy la sezione «Consigli personalizzati e valutazione d'impatto» con limiti, esclusioni e revoca.
  • Definite le soglie che impongono una nuova valutazione: IA, punteggi automatici, dati di terzi, pubblicità comportamentale, prezzi personalizzati, minori, monitoraggio continuo.
  • Confermata l'assenza di decisioni automatizzate con effetti giuridici e di consultazione preventiva del Garante (art. 36 GDPR).

• 15 settembre 2026 — revisione straordinaria

  Contatti del Titolare e del DPO resi immediatamente reperibili in cima a informativa privacy e cookie policy (artt. 37-38 GDPR).

  • Aggiunta in evidenza, in cima a informativa privacy e cookie policy, una card con i recapiti del Titolare per questioni di protezione dei dati.
  • Chiarito esplicitamente l'assenza di nomina del DPO con i motivi dell'art. 37 GDPR e il riferimento all'art. 38 GDPR per le richieste.
  • Aggiunto anchor «diritti» alla sezione dei diritti per raggiungere rapidamente l'esercizio dei diritti dall'intestazione della card.

• 15 settembre 2026 — revisione straordinaria

  Nuova categoria di cookie «Marketing e profilazione», consensi separati per finalità in registrazione e area account.

  • Aggiunta la categoria «Marketing e profilazione» al banner e alla cookie policy, disattivata per impostazione predefinita.
  • Verificati i consensi separati per finalità (email promozionali, personalizzazione, condivisione con i partner), nessuno pre-selezionato.
  • Aggiornata la versione dell'informativa dei consensi, con nuova richiesta di scelta agli utenti già registrati.
  • Riverificato l'elenco dei fornitori esterni, i luoghi di trattamento e i tempi di conservazione.

• 2 settembre 2026 — revisione ordinaria

  Prima revisione completa delle informative alla pubblicazione della piattaforma.

  • Pubblicate informativa privacy (artt. 13-14 GDPR) e cookie policy con basi giuridiche, destinatari, conservazione e diritti.
  • Attivato il banner di consenso con rifiuto equipollente e categorie granulari.
  • Censiti fornitori esterni, trasferimenti extra-UE e memorie locali del sito.