Privacy Policy

1. Introduzione

La presente Privacy Policy descrive come EXPY ("noi", "nostro") raccoglie, utilizza, condivide e protegge le informazioni personali degli utenti ("tu", "tuo") che utilizzano la nostra piattaforma e servizi.

La tua privacy è fondamentale per noi. Ci impegniamo a trattare i tuoi dati personali con la massima trasparenza e nel pieno rispetto del Regolamento Generale sulla Protezione dei Dati (GDPR) e delle leggi sulla privacy applicabili.

2. Informazioni che Raccogliamo

2.1 Informazioni Fornite Direttamente

2.2 Informazioni Raccolte Automaticamente

• Dati tecnici: indirizzo IP, tipo di browser, sistema operativo, device ID
• Dati di utilizzo: pagine visitate, funzionalità utilizzate, tempo trascorso, click
• Geolocalizzazione: posizione approssimativa (città/regione) o precisa se autorizzata
• Cookie e tecnologie simili: vedi sezione dedicata
• Analytics: comportamento sulla piattaforma tramite EXPY Analytics (proprietario)

2.3 Informazioni da Terze Parti

• Login tramite servizi OAuth (Google, Facebook, Apple) - solo dati base del profilo
• Integrazioni con servizi di pagamento (Stripe, PayPal)
• Partner dell'ecosistema EXPY (solo per funzionalità collaborative autorizzate)

3. Come Utilizziamo le Tue Informazioni

4. Basi Legali per il Trattamento (GDPR)

Trattiamo i tuoi dati personali sulla base di:

5. Condivisione delle Informazioni

5.1 All'Interno dell'Ecosistema EXPY

Alcuni dati sono visibili ad altri membri per abilitare la collaborazione:

• Profilo pubblico: nome, foto, bio, categorie di interesse (controllabile nelle impostazioni)
• Contenuti pubblici: POI, recensioni, foto condivise (visibili al network)
• Attività gamificate: badge, livelli, achievements (opzionale rendere pubblico)

5.2 Con Partner Terzi

Condividiamo dati limitati con:

• Payment Processors: Stripe, PayPal (solo dati necessari per transazioni)
• Cloud Infrastructure: AWS, Google Cloud (hosting e storage sicuro)
• Email Service: SendGrid, Mailgun (solo per invio comunicazioni autorizzate)
• Analytics Tools: proprietari EXPY (non condividiamo con Google Analytics o simili)
• Fornitori di modelli di intelligenza artificiale: Anthropic (elaborazione dei messaggi scritti all'assistente; Responsabile del trattamento ai sensi dell'art. 28 GDPR). Le fonti cartografiche e i cataloghi pubblici ricevono solo i nomi dei luoghi da cercare.

Nota: Tutti i partner sono vincolati da accordi di riservatezza e conformità GDPR.

5.3 Situazioni Legali

Possiamo divulgare informazioni se richiesto da:

• Obblighi di legge o ordini giudiziari
• Protezione dei diritti, proprietà o sicurezza di EXPY e degli utenti
• Prevenzione frodi o attività illegali

5.4 Trasferimenti Aziendali

In caso di fusione, acquisizione o vendita di asset, i tuoi dati potrebbero essere trasferiti. Ti notificheremo e potrai esercitare i tuoi diritti prima del completamento.

6. Trasferimenti Internazionali di Dati

EXPY opera a livello globale. I tuoi dati potrebbero essere trasferiti e processati in paesi al di fuori dell'Unione Europea, inclusi Stati Uniti (data center AWS/GCP).

Garantiamo protezione adeguata attraverso:

• Clausole Contrattuali Standard (SCC) approvate dalla Commissione UE
• Certificazioni Privacy Shield (dove applicabile)
• Misure di sicurezza equivalenti al GDPR

7. Conservazione dei Dati

Conserviamo i tuoi dati personali per il tempo necessario a:

• Account attivi: per tutta la durata del rapporto contrattuale
• Account cancellati: 90 giorni (backup di sicurezza), poi eliminazione permanente
• Dati finanziari: 10 anni (obbligo fiscale italiano)
• Contenuti pubblici: possono rimanere anonimi nell'ecosistema dopo cancellazione account
• Logs di sicurezza: 12 mesi (prevenzione abusi)
• Conversazioni con l'assistente di intelligenza artificiale (concierge, guida, planner): fino a 30 giorni per le conversazioni dell'ospite; fino a 90 giorni per i riepiloghi e le statistiche a disposizione della struttura o dell'ente che ti ospita, che è titolare del trattamento di quelle conversazioni. WakeUp Labs agisce come fornitore tecnico. Le conversazioni servono a risponderti e a migliorare il servizio: non vengono pubblicate né usate per profilazione commerciale. Dettagli nella Nota di trasparenza sull'IA.

Puoi richiedere l'eliminazione anticipata dei tuoi dati contattando privacy@expy.com

8. Sicurezza dei Dati

Implementiamo misure di sicurezza avanzate per proteggere i tuoi dati:

Importante: Nessun sistema è infallibile. Proteggi le tue credenziali e notificaci immediatamente qualsiasi accesso sospetto.

9. Cookie e Tecnologie di Tracciamento

9.1 Tipologie di Cookie

9.2 Gestione Cookie

Puoi gestire le tue preferenze sui cookie tramite:

• Banner cookie al primo accesso
• Impostazioni account > Privacy > Cookie
• Impostazioni del browser (blocco totale)

Disabilitare i cookie funzionali potrebbe limitare alcune funzionalità della piattaforma.

10. I Tuoi Diritti (GDPR)

Hai i seguenti diritti sui tuoi dati personali:

Come Esercitare i Tuoi Diritti

• Self-service: Impostazioni account > Privacy & Dati
• Richiesta diretta: privacy@expy.com (risposta entro 30 giorni)
• Data Export: dashboard > Esporta i Miei Dati

11. Minori

EXPY non è destinato a utenti di età inferiore a 18 anni (o età minima legale nella tua giurisdizione). Non raccogliamo consapevolmente dati di minori.

Se veniamo a conoscenza di dati raccolti da minori, procediamo immediatamente all'eliminazione. I genitori possono contattare privacy@expy.com per segnalazioni.

12. Expy Coins e Blockchain

Il sistema di Expy Coins utilizza tecnologie di tracking on-chain per garantire trasparenza e ownership verificato:

• Le transazioni di Expy Coins sono tracciate su ledger distribuito
• La tua identità è pseudonimizzata (wallet ID, non nome reale)
• I contributi verificati (POI, esperienze) sono immutabili
• Puoi richiedere de-associazione del wallet dal tuo profilo

Nota: I dati on-chain non possono essere "cancellati" per natura della blockchain, ma possiamo rimuovere il link con la tua identità reale.

13. Modifiche alla Privacy Policy

Ci riserviamo il diritto di aggiornare questa Privacy Policy per riflettere cambiamenti nelle nostre pratiche o per conformità normativa.

Ti notificheremo le modifiche sostanziali tramite:

• Email all'indirizzo registrato (almeno 30 giorni prima)
• Notifica in-app al prossimo accesso
• Banner sulla homepage

L'uso continuato dopo le modifiche costituisce accettazione della nuova policy. Se non accetti, puoi cancellare il tuo account prima che le modifiche entrino in vigore.

14. Data Protection Officer (DPO)

Abbiamo designato un Data Protection Officer per garantire la conformità GDPR:

15. Autorità di Controllo

Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai il diritto di presentare reclamo presso l'autorità di controllo competente: