Informativa sulla Privacy

Raccogliamo le informazioni che fornisci direttamente: nome, indirizzo email, username pubblico (@handle), foto profilo, preferenze di viaggio e l’anno di nascita che indichi in fase di registrazione per verificare l’età minima di 14 anni. Raccogliamo inoltre i contenuti che crei (piani di viaggio, destinazioni salvate, foto, commenti, messaggi, segnalazioni di affollamento, conversazioni con l’assistente AI) e dati di utilizzo (modelli di interazione con l’app) per erogare e migliorare il servizio.

I tuoi dati vengono utilizzati per personalizzare la tua esperienza di viaggio, fornire indicazioni sul livello di affollamento, generare raccomandazioni, alimentare l’assistente di viaggio AI, mantenere sicuro il servizio e migliorare i nostri servizi. Non vendiamo le tue informazioni personali a terze parti. Le comunicazioni di marketing vengono inviate solo con il tuo consenso esplicito e puoi revocarle in qualsiasi momento tramite le preferenze di notifica nelle Impostazioni.

Trattiamo i tuoi dati sulla base delle seguenti basi giuridiche definite dal Regolamento Generale sulla Protezione dei Dati: • Dati dell’account (nome, email, username, profilo) e contenuti che crei: esecuzione del contratto — il trattamento è necessario per fornirti i nostri servizi (Art. 6(1)(b)). • Assistente di viaggio AI: esecuzione del contratto per l’erogazione dell’assistente (Art. 6(1)(b)); legittimo interesse per la sua valutazione e il suo miglioramento (Art. 6(1)(f)). • Dati di localizzazione: consenso — trattiamo la tua posizione solo quando concedi esplicitamente il permesso (Art. 6(1)(a)). Puoi revocare il consenso in qualsiasi momento dalle Impostazioni dell’app o del dispositivo. • Dati analitici e di utilizzo: legittimo interesse — analizziamo i modelli di utilizzo per migliorare le prestazioni dell’app e l’esperienza utente e produciamo statistiche aggregate anonime (Art. 6(1)(f)). • Sicurezza e prevenzione degli abusi (verifica email, attestazione del dispositivo, limiti anti-spam, moderazione dei contenuti): legittimo interesse (Art. 6(1)(f)). • Marketing e notifiche push: consenso — inviamo comunicazioni promozionali solo con il tuo consenso opt-in (Art. 6(1)(a)). Puoi revocare il consenso in qualsiasi momento tramite le preferenze di notifica nelle Impostazioni. • Profilo «Come viaggi»: esecuzione del contratto per le voci che imposti tu (Art. 6(1)(b)); legittimo interesse per le preferenze apprese dalle conversazioni (Art. 6(1)(f)). Dati sensibili che scegli di aggiungere (esigenze alimentari e di accessibilità): consenso esplicito (Art. 9(2)(a)), revocabile in qualsiasi momento; in quel caso i dati vengono cancellati subito. • Memoria del viaggio («L’assistente ricorda»): legittimo interesse (Art. 6(1)(f)); puoi opporti come descritto in «La memoria del viaggio».

Ogni account ha uno username pubblico unico (@handle). I dati del tuo profilo pubblico — nome visualizzato, foto profilo e username — sono visibili agli altri utenti sul tuo profilo e accanto ai contenuti che pubblichi. Puoi modificare lo username dalle Impostazioni, nei limiti previsti per prevenire abusi; lo username precedente torna disponibile per altri utenti. Lo username è incluso nell’export dei tuoi dati e viene cancellato quando elimini l’account. Base giuridica: esecuzione del contratto.

Ogni foto o video che carichi in un viaggio ha una visibilità che scegli tu: «Tutti», «Follower» o «Solo io». Puoi cambiarla in qualsiasi momento: il cambio vale subito, ma screenshot o copie già fatti da altri non si possono recuperare. • Compagni di viaggio: nell’album del viaggio vedono le tue foto «Tutti» e «Follower». Le foto «Solo io» le vedi solo tu. • Chi non fa parte del viaggio: può vedere una tua foto solo se può vedere anche il viaggio, e mai oltre quanto permettono la tua scelta e il tuo account. In pratica: – «Tutti»: la vede chiunque su Wandermi se il viaggio è pubblico; se il viaggio è visibile solo ai follower, al massimo i follower di chi l’ha creato; – «Follower»: la vedono i tuoi follower se il viaggio è pubblico, oppure se è tuo ed è visibile ai follower; negli altri casi solo i compagni; – le foto di un viaggio privato, in bozza o nel cestino non le vede nessuno fuori dal viaggio; – se il tuo account è privato, le tue foto non vanno oltre i compagni e i tuoi follower. • Dove compaiono: le foto visibili fuori dal viaggio possono comparire sul tuo profilo e nella Home di chi le può vedere, con il tuo nome. Nelle pagine dei luoghi, nella sezione «Da chi c’è stato», mostriamo solo foto (non video) «Tutti» di viaggi pubblici di account non privati; se mancano foto del luogo esatto, possiamo mostrare foto scattate entro circa 1,5 km, indicate come «Scattata nei dintorni». Per Home e profilo usiamo una copia della foto che la segue: cambia quando cambi la visibilità e viene cancellata quando cancelli la foto. • Blocchi: le persone che hai bloccato, o che ti hanno bloccato, non vedono le tue foto sul tuo profilo, in Home, nelle pagine dei luoghi e aprendo la singola foto. • Posizione: con la foto salviamo solo un luogo approssimato (circa 1 km) e il nome del luogo, ricavati dai dati della foto o scelti da te. Le versioni attuali dell’app non salvano mai la posizione esatta; se una versione precedente la invia, il nostro server la arrotonda subito a circa 1 km. I file delle foto non contengono coordinate GPS. Chi può vedere una tua foto (compagni, follower o tutti, secondo le tue scelte) può ricevere anche il nome del luogo, la posizione approssimata (circa 1 km) e un riferimento al luogo; chi non può vederla non riceve nulla di tutto questo. Nelle pagine dei luoghi non mostriamo coordinate. • Persone ritratte: se pubblichi foto in cui compaiono altre persone, assicurati di poterlo fare. Base giuridica: esecuzione del contratto (Art. 6(1)(b)). Conservazione: come i dati dei viaggi (vedi «Periodi di conservazione dei dati»).

Dalla pagina di un luogo puoi caricare una tua foto di quel posto, se hai almeno 16 anni e un account da almeno 7 giorni. Le foto dei luoghi sono pubbliche: le vedono tutti gli utenti e chi apre la pagina del luogo, anche tramite link, con il tuo nome utente come autore; le vedono anche gli utenti che hai bloccato. Valgono le «Condizioni per le foto dei luoghi», che accetti al primo caricamento. La funzione viene attivata gradualmente: finché è spenta, le foto dei luoghi non vengono mostrate. • Cosa raccogliamo: – la foto. Prima dell'invio l'app toglie dal file tutti i metadati, compresa la posizione GPS; poi il nostro server ricodifica la foto, eliminando ogni metadato rimasto, e ne crea le misure più piccole. Conserviamo tre misure, la più grande al massimo di 1600 pixel sul lato lungo; – il tuo nome utente e il luogo a cui la foto è collegata; – solo se scegli «Scattata sul posto» (spenta di default): l'indicazione «scattata entro circa 300 m dal luogo» e il mese e l'anno di scatto (mai il giorno né l'ora). L'app legge posizione e data dalla foto sul tuo telefono e invia solo se la foto è vicina al luogo e il mese/anno; la posizione della foto non viene mai inviata. Il mese e l'anno compaiono pubblicamente solo 30 giorni dopo la pubblicazione; la data di caricamento non viene mai mostrata. Li usiamo solo per l'etichetta: se la togli, li cancelliamo e non si possono più rimettere. Se non scegli l'etichetta non riceviamo né vicinanza né data; – l'esito del controllo automatico e, se la foto non viene pubblicata, il motivo; – la registrazione della tua accettazione: identificativo utente, impronta digitale del file (non la foto), data e ora, versione e lingua delle Condizioni con l'impronta del testo accettato, metodo di accesso al tuo account (per esempio email, Google o Apple). Alla prima foto pubblicata ti mandiamo un'email di conferma con il link alla versione accettata; – per controllare l'età usiamo il tuo anno di nascita (vedi «Anno di nascita, età minima e minori»). • Se segnali una foto: il tuo identificativo utente e l'email del tuo account, il motivo, il testo facoltativo che scrivi e la tua dichiarazione di buona fede. Non diciamo all'autore chi ha segnalato, salvo obbligo di legge o ordine di un'autorità. • Perché e con quale base giuridica: – pubblicare la foto nella pagina del luogo con il tuo nome utente, e mostrare l'etichetta «Scattata sul posto» e il mese di scatto quando li scegli: esecuzione del contratto (Art. 6(1)(b) GDPR). La lettura della posizione e della data nella foto avviene sul telefono ed è strettamente necessaria per fornire l'etichetta o la data che chiedi (art. 122 Codice privacy; art. 5(3) Direttiva ePrivacy); – gestire segnalazioni, sospensioni e rimozioni, e avvisare autore e segnalante: obbligo di legge (Art. 6(1)(c) GDPR; artt. 16 e 17 del Regolamento (UE) 2022/2065, «Digital Services Act»); – controllo automatico e limiti di caricamento per evitare abusi, e conservazione del registro dell'accettazione dopo la rimozione: nostro legittimo interesse a tutelare gli altri utenti e a poter dimostrare la licenza in caso di contestazione (Art. 6(1)(f) GDPR). Puoi opporti scrivendo a privacy@wandermi.com. • Controllo automatico: prima della pubblicazione un sistema di intelligenza artificiale controlla la foto, già ricodificata dal nostro server: verifica che mostri il luogo e che non contenga persone riconoscibili (anche solo dalla figura nei luoghi di culto e nelle strutture sanitarie), targhe, dati personali leggibili (documenti, schermi, nomi su cartelli, citofoni, cassette della posta) o contenuti inappropriati. Nel dubbio la foto non viene pubblicata. – Il modello è eseguito su Google Cloud Vertex AI nell'Unione Europea (regione europe-west1). Google agisce come nostro responsabile del trattamento (Art. 28 GDPR) e non usa le foto per addestrare i propri modelli. – Se la foto non supera il controllo non viene pubblicata: ti indichiamo il motivo e che il controllo è automatico. Puoi chiedere che la riesamini una persona del nostro team scrivendo a legal@wandermi.com. – Se il controllo non può essere completato la foto resta in attesa e non viene pubblicata; dopo 7 giorni viene scartata. – Il controllo riguarda solo la pubblicazione di quella foto e non produce effetti giuridici su di te (non è una decisione ai sensi dell'Art. 22 GDPR). • Segnalazioni e moderazione: di norma una segnalazione dall'app sospende subito la foto; non la sospendiamo in automatico se la stessa persona l'aveva già segnalata, se la foto era già stata verificata e ripristinata (salvo «sono io», diritti d'autore e richieste dell'ente che custodisce il bene) o se l'account di chi segnala ha meno di 7 giorni. In ogni caso una persona del nostro team decide, di norma entro 48 ore. L'autore riceve nell'app e, se l'indirizzo è verificato, via email la motivazione di ogni sospensione o rimozione; chi segnala riceve la conferma e l'esito. Per le email ci serviamo di Microsoft Ireland Operations Ltd (Microsoft 365), che agisce come nostro responsabile del trattamento. • Persone ritratte: se compari in una foto pubblicata usa «Segnala questa foto» → «Sono io in questa foto» (di norma la foto viene nascosta subito). Se non hai un account, scrivi a privacy@wandermi.com (dati personali, «sono io in questa foto») o a legal@wandermi.com (diritti d'autore) con il link della foto, il motivo, il tuo nome e la tua email: una persona del team esamina la richiesta, di norma entro 48 ore. • Conservazione: – foto pubblicate: finché non le rimuovi da «Le mie foto dei luoghi» (smettono di essere mostrate entro un giorno) o non elimini l'account; – foto non pubblicate dal controllo: file cancellati subito, il resto entro 24 ore; – foto sospese: fino alla decisione; se rimosse, file cancellati subito; – segnalazioni e decisioni: 12 mesi dalla decisione; – email di servizio (avvisi e conferme): 30 giorni dall'invio; – registro dell'accettazione: finché la foto è pubblicata e fino a 10 anni dopo la rimozione (art. 2946 c.c.), solo per dimostrare la licenza; – se elimini l'account cancelliamo le tue foto dei luoghi e le segnalazioni che hai fatto; resta solo il registro dell'accettazione. • Destinatari: Google Cloud (Firebase e Vertex AI, nell'UE) e Microsoft (email), come responsabili del trattamento; il pubblico, per le foto pubblicate. Non usiamo le tue foto in pubblicità o in prodotti a pagamento senza un tuo consenso separato. • I tuoi diritti: accesso, rettifica, cancellazione (anche togliendo la foto con un tocco), opposizione, limitazione e portabilità. Le foto dei luoghi e il registro sono inclusi in «Esporta i miei dati». Vedi «I tuoi diritti».

• Anno di nascita: ti chiediamo l'anno di nascita alla registrazione (oppure, se ti sei registrato con Google o Apple senza indicarlo, alla prima apertura dell'app). Lo usiamo solo per applicare le regole di età previste dalla legge: almeno 14 anni per usare Wandermi, almeno 16 anni per caricare foto dei luoghi, e le tutele per chi ha 14 o 15 anni descritte qui sotto. Quando l'anno da solo non basta (l'anno in cui compi 14 o 16 anni) ti facciamo una domanda in più (per esempio il mese di nascita) e conserviamo solo l'esito, non la tua risposta. L'anno di nascita non è visibile agli altri utenti. – Base giuridica: obbligo di legge (Art. 6(1)(c) GDPR, per rispettare l'età minima fissata dall'art. 8 GDPR e dall'art. 2-quinquies del Codice privacy) ed esecuzione del contratto (Art. 6(1)(b) GDPR), perché le regole di età fanno parte dei Termini di Servizio. – Conservazione: per tutta la durata dell'account; viene cancellato quando elimini l'account. – Non si modifica: una volta salvato, l'anno di nascita non si può cambiare dall'app, così le regole di età non possono essere aggirate. Se hai sbagliato, scrivi a privacy@wandermi.com e lo correggiamo (diritto di rettifica, Art. 16 GDPR); potremmo chiederti qualche elemento per verificare la richiesta. • Se hai meno di 14 anni: Wandermi non è disponibile. – Se lo indichi durante la registrazione, l'account non viene creato e i dati inseriti vengono cancellati. – Se risulta che un account esistente appartiene a una persona sotto i 14 anni, l'account viene sospeso: tutti i contenuti pubblici e quelli visibili ai follower vengono nascosti, l'assistente AI e le notifiche push non sono disponibili. Lo comunichiamo nell'app e via email. Se si tratta di un errore, scrivi a privacy@wandermi.com entro i 30 giorni: la contestazione ferma la cancellazione, una persona del nostro team riesamina il caso e, se l'errore è confermato, riattiva l'account e rende di nuovo visibili i contenuti. Senza contestazione, l'account e i dati collegati vengono cancellati automaticamente dopo 30 giorni, con la stessa procedura di «Elimina account». – Per evitare una nuova iscrizione immediata conserviamo per 90 giorni solo un'impronta con chiave (HMAC, non reversibile) dell'identificativo dell'account Google/Apple o dell'indirizzo email verificato, poi la cancelliamo; se l'errore sull'età viene confermato, la cancelliamo subito. Base giuridica: nostro legittimo interesse a far rispettare l'età minima prevista dalla legge (Art. 6(1)(f) GDPR). • Se hai 14 o 15 anni: – il tuo profilo e i tuoi viaggi non sono pubblici di default (puoi comunque condividerli con i tuoi follower); se vuoi, puoi renderli pubblici tu con un tocco. Se hai già un account, diventano non pubblici solo il profilo e i viaggi che erano pubblici: quelli condivisi con i follower restano come li avevi scelti. Ti avvisiamo nell'app e puoi renderli di nuovo pubblici con un tocco; – non puoi caricare foto dei luoghi (servono 16 anni); – per i tuoi contenuti vale la licenza limitata descritta nei Termini di Servizio: li mostriamo solo all'interno del Servizio, al pubblico che scegli tu, e non li usiamo per promozioni fuori dal Servizio. • Sezioni in evidenza: in base all'anno di nascita che ci hai indicato, se potresti avere meno di 18 anni i tuoi contenuti non vengono selezionati per le sezioni in evidenza (viaggi in evidenza, Scopri, foto della community nelle pagine dei luoghi e dei Paesi). Le foto caricate con «Ho una foto di questo posto» (dai 16 anni) non rientrano in questa esclusione: seguono le «Condizioni per le foto dei luoghi». Se sei minorenne, ti invitiamo a leggere questa informativa insieme a un genitore o a chi esercita la responsabilità genitoriale.

Wandermi include un assistente di viaggio basato su intelligenza artificiale generativa (fornitore del modello: Google). • Dati inviati al modello: il testo dei tuoi messaggi, il contesto del viaggio in pianificazione (destinazioni, date, interessi) e un profilo di preferenze di viaggio costruito dalle tue conversazioni precedenti. Non inviamo la tua email né la tua posizione GPS esatta. • Dove viene eseguito il modello: l’assistente è eseguito su Google Cloud Vertex AI nell’Unione Europea (regione europe-west1). Google agisce come nostro responsabile del trattamento ai sensi dell’Art. 28 GDPR sulla base del Data Processing Addendum di Google Cloud e non utilizza i tuoi prompt né gli output del modello per addestrare i propri modelli. Le tue conversazioni sono trattate all’interno dell’UE. • Memoria: conserviamo (i) la cronologia delle conversazioni, (ii) un profilo viaggiatore persistente costruito dalle tue conversazioni tra i diversi viaggi e (iii) una memoria per ogni viaggio (vedi «La memoria del viaggio» qui sotto), per offrirti continuità tra le sessioni. Puoi archiviare o rinominare le sessioni in-app. • Conservazione e cancellazione: conversazioni e profilo viaggiatore sono conservati finché l’account è attivo e vengono cancellati quando elimini l’account; la memoria del viaggio segue regole di conservazione proprie (vedi «La memoria del viaggio»). Sono tutti inclusi nell’export dei tuoi dati. Separatamente, copie pseudonimizzate (senza identificativi diretti) sono conservate per valutare e migliorare l’assistente: testo delle conversazioni per un massimo di 12 mesi, metriche tecniche per un massimo di 24 mesi — vedi «Warehouse analitico» per ciò che accade a queste copie quando elimini l’account. • Accuratezza: le risposte sono generate automaticamente e possono contenere errori o informazioni non aggiornate. Puoi segnalare qualsiasi risposta tenendo premuto sul messaggio nella chat. • Base giuridica: esecuzione del contratto (erogazione dell’assistente) e legittimo interesse (valutazione e miglioramento). Puoi opporti al trattamento per finalità di miglioramento scrivendo a privacy@wandermi.com.

L’assistente AI conserva un profilo delle tue preferenze di viaggio, che puoi vedere e gestire nell’app in «Come viaggi» (dal pannello delle conversazioni o da Profilo → Preferenze). • Cosa contiene: con chi viaggi di solito, stile di viaggio, passioni, ritmo, budget, come ti trovi con la folla, posti del cuore o da evitare, preferenze su alloggio e mezzi. Per ogni voce l’app mostra da dove viene: dalle domande iniziali, impostata da te o appresa dalle tue conversazioni (con la data). • Come si forma: l’assistente salva solo preferenze di viaggio durature che emergono chiaramente dalle conversazioni e te lo dice ogni volta in chat («Mi ricorderò che…»), con il tasto «Annulla». Ciò che imposti tu ha sempre la precedenza e l’assistente non lo sovrascrive; una voce che togli non torna. • Il tuo controllo: puoi cambiare o togliere ogni voce in qualsiasi momento. Se disattivi «Impara dalle conversazioni», l’assistente non aggiunge nulla di nuovo; ciò che è già nel profilo resta e continua a essere usato per i consigli finché non lo cambi o lo cancelli. Per opporti del tutto, togli anche le voci apprese oppure usa «Cancella tutto», che elimina l’intero profilo. Disattivare «Impara dalle conversazioni» mette in pausa anche la memoria del viaggio: nessuna voce nuova e nessun uso di quelle salvate (vedi «La memoria del viaggio»). Queste scelte hanno effetto immediato. Puoi anche scrivere a privacy@wandermi.com. • Dati sensibili (Art. 9 GDPR): le esigenze alimentari (ad esempio allergie, intolleranze o diete, che possono rivelare informazioni sulla tua salute o sulle tue convinzioni religiose) e le esigenze di accessibilità vengono salvate solo se le inserisci tu in «Come viaggi» e dai il consenso esplicito con l’apposita casella. Conserviamo una registrazione del tuo consenso (data e versione). L’assistente ha l’istruzione di non dedurre queste informazioni dalle conversazioni e non può salvarle nel tuo profilo. Le usiamo solo per adattare i consigli di viaggio: vengono inviate al modello AI (Vertex AI, UE) solo come parte delle tue richieste e non vengono copiate nel data warehouse di analisi. Google agisce come nostro responsabile del trattamento e non usa questi dati per addestrare i propri modelli. Puoi revocare il consenso in qualsiasi momento con «Togli il consenso e cancella le esigenze»: i dati vengono cancellati subito. La revoca non pregiudica la liceità del trattamento effettuato prima. • Informazioni su salute o religione scritte in chat: se le menzioni in un messaggio, restano parte di quella conversazione e delle copie pseudonimizzate che conserviamo per le analisi fino a 12 mesi, ma non vengono salvate nel tuo profilo. Ti chiediamo di evitare di condividerle in chat e di usare invece «Come viaggi». • Nessuna decisione automatizzata: il profilo serve solo a suggerire luoghi e itinerari, mai per decisioni che producano effetti giuridici o effetti analoghi significativi su di te. • Conservazione: il profilo è conservato finché il tuo account è attivo o finché non lo cancelli, ed è eliminato quando elimini l’account. È incluso in «Esporta i miei dati». • Base giuridica: esecuzione del contratto per le voci che imposti tu o che indichi nelle domande iniziali (Art. 6(1)(b)); legittimo interesse per le preferenze apprese dalle conversazioni (Art. 6(1)(f)), a cui puoi opporti come descritto sopra; consenso esplicito per i dati sensibili (Art. 9(2)(a)).

Nel Travel Companion l’assistente AI può ricordare fatti brevi che gli dici su un viaggio specifico, così non devi ripeterli a ogni conversazione. Li trovi nel menu del Travel Companion, in «L’assistente ricorda», e in «Come viaggi» → «Ricordi dei viaggi». • Cosa contiene: solo fatti brevi che dichiari esplicitamente per quel viaggio — una decisione sul piano (ad esempio «il giorno 2 niente musei»), un vincolo pratico («cena entro le 20», «niente auto»), una preferenza per questo viaggio («spiagge più tranquille») o una proposta che hai scartato («non riproporre il centro storico»). Ogni voce ha al massimo 120 caratteri, fino a 30 voci per persona e per viaggio. • Come si forma: alla fine di ogni risposta un modello AI leggero individua questi fatti nel tuo messaggio e il nostro codice li filtra prima di salvarli. Il modello ha l’istruzione di non salvare domande o ipotesi. Di solito l’assistente te lo dice in chat («Mi ricorderò per questo viaggio…»), con il tasto «Annulla», e puoi sempre vedere tutto in «L’assistente ricorda». Il modello è eseguito su Google Cloud Vertex AI nell’UE (regione europe-west1); Google agisce come nostro responsabile del trattamento ai sensi dell’Art. 28 GDPR e non usa questi dati per addestrare i propri modelli. • Cosa non salviamo: informazioni sulla tua salute; esigenze alimentari o diete; esigenze di accessibilità (restano solo in «Come viaggi», con il tuo consenso esplicito); convinzioni religiose; informazioni su altre persone; documenti; numeri identificativi, di contatto o di carte; indirizzi email o postali. Il modello ha l’istruzione di non proporre queste voci e il nostro codice scarta inoltre le voci che contengono i termini più comuni di queste categorie; se qualcosa sfugge, puoi toglierlo subito con ✕. • Chi la vede: solo tu, e solo finché fai parte del viaggio. Gli altri partecipanti, compreso chi organizza il viaggio, non vedono le tue voci. Le voci sono scritte solo dai nostri server; l’app può soltanto leggerle. In questa versione la memoria non è mai condivisa con gli altri partecipanti; se introdurremo voci condivise, aggiorneremo questa informativa e ti avviseremo prima nell’app. • Perché e base giuridica: per dare continuità all’assistente durante il viaggio. Base giuridica: legittimo interesse (Art. 6(1)(f)). La memoria si limita ai fatti che hai detto su quel viaggio, e puoi vederla e cancellarla in qualsiasi momento. • Come opporti: disattiva «Impara dalle conversazioni» in «Come viaggi»: l’assistente non aggiunge più nulla, né al profilo né alla memoria del viaggio. Le voci già salvate restano visibili in «L’assistente ricorda» ma non vengono usate finché l’apprendimento è spento; puoi toglierle con ✕ o con «Cancella tutto». Queste scelte hanno effetto immediato. Puoi anche scrivere a privacy@wandermi.com. • Conservazione: le voci vengono cancellate automaticamente 90 giorni dopo la fine del viaggio (se il viaggio non ha date, dal salvataggio della prima voce), e prima se esci dal viaggio o ne vieni rimosso, se il viaggio viene eliminato definitivamente (dopo i 30 giorni di recupero) o se elimini l’account. Quando togli una voce con ✕ o «Annulla» conserviamo solo un’impronta (un hash non reversibile, non il testo), perché l’assistente non la salvi di nuovo; le impronte vengono cancellate se esci dal viaggio, se il viaggio viene eliminato definitivamente, se elimini l’account e in ogni caso 90 giorni dopo la fine del viaggio. • I tuoi diritti: le voci sono incluse in «Esporta i miei dati». Puoi accedervi, cancellarle e opporti come descritto sopra e in «I tuoi diritti». Le voci sono conservate solo con il viaggio nel nostro database e non vengono copiate nel warehouse analitico; i messaggi da cui provengono fanno parte delle tue conversazioni (vedi «Assistente di viaggio AI»). • Nessuna decisione automatizzata: la memoria serve solo ad adattare i consigli dell’assistente per quel viaggio.

Con il tuo permesso, utilizziamo la tua posizione per le seguenti finalità: • Segnalazioni di affollamento (crowd report): la segnalazione visibile agli altri utenti contiene solo coordinate approssimate (arrotondate a ~1 km di precisione). Le coordinate esatte del punto segnalato sono conservate separatamente, in una collezione ad accesso ristretto che le applicazioni client non possono leggere: non vengono mai mostrate ad altri utenti né condivise con terzi. Sono incluse nell’export dei tuoi dati e vengono cancellate quando elimini l’account. • Rilevazione dei tempi di permanenza (dwell): ricaviamo valori aggregati sul tempo trascorso nei luoghi. Non registriamo il tuo percorso GPS continuo e non tracciamo i tuoi spostamenti. • Le statistiche condivise con enti pubblici sono esclusivamente anonime e aggregate. Puoi disattivare la localizzazione in qualsiasi momento da Impostazioni → Posizione o dalle impostazioni del dispositivo: l’app resta utilizzabile. Base giuridica: consenso (Art. 6(1)(a)), revocabile in qualsiasi momento; legittimo interesse per la produzione di statistiche aggregate.

Puoi generare un link pubblico per condividere un itinerario. Chiunque possieda il link può visualizzare i contenuti condivisi (itinerario, tappe, eventuali foto incluse), anche senza un account Wandermi e anche al di fuori dell’app, per tutto il tempo in cui il link è attivo. Valuta con attenzione cosa condividi e con chi. Puoi disattivare il link in qualsiasi momento dalle impostazioni di condivisione: la disattivazione rende il contenuto immediatamente inaccessibile dal link, ma non ha effetto sulle copie già salvate da terzi. I link attivi sono inclusi nell’export dei tuoi dati e vengono cancellati quando elimini l’account. Base giuridica: esecuzione del contratto (funzionalità che richiedi tu).

• Notifiche push: con il tuo permesso ti inviamo notifiche (messaggi, inviti, avvisi di affollamento, attività social). Conserviamo un token di notifica associato al dispositivo, trasmesso al fornitore Expo (Stati Uniti, con Clausole Contrattuali Standard dell’UE); il token viene rimosso al logout. Puoi gestire ogni categoria da Impostazioni → Notifiche o disattivare le notifiche dal sistema operativo. • Lingua delle notifiche: memorizziamo la lingua dell’app affinché le notifiche ti raggiungano nella lingua che utilizzi. • Verifica email: alla registrazione con email ti inviamo un messaggio di verifica; la verifica è richiesta per l’uso dell’account, a fini di sicurezza e prevenzione degli abusi. Base giuridica: legittimo interesse (Art. 6(1)(f)).

Per proteggere il servizio da abusi automatizzati (bot, script, account falsi), l’app utilizza meccanismi di attestazione del dispositivo forniti da Apple (App Attest/DeviceCheck) e Google (Play Integrity) tramite Firebase App Check. Questi servizi verificano che le richieste provengano da una copia genuina dell’app su un dispositivo autentico, generando token tecnici che non vengono usati per profilarti né per finalità pubblicitarie. Base giuridica: legittimo interesse alla sicurezza del servizio (Art. 6(1)(f)).

Condividiamo i dati solo con fornitori di servizi affidabili che ci aiutano a gestire Wandermi. Tutti i partner sono vincolati da rigorosi accordi di protezione dei dati. Non vendiamo i tuoi dati personali.

Utilizziamo i seguenti sub-responsabili per fornire i nostri servizi: • Google Firebase (Cloud Firestore, Authentication, Cloud Storage, App Check) — Stati Uniti. I trasferimenti di dati sono regolati dalle Clausole Contrattuali Standard (SCC) dell’UE. • Google Cloud Platform (Cloud Functions, regione europe-west1) — Unione Europea. • Google Cloud Vertex AI (regione europe-west1) — Unione Europea. Fornisce il modello generativo che alimenta l’assistente di viaggio AI. Google agisce come responsabile del trattamento ai sensi del Data Processing Addendum di Google Cloud e non utilizza i tuoi prompt né gli output del modello per addestrare i propri modelli. Il trattamento avviene all’interno dell’UE. • Google Cloud BigQuery (regione europe-west1) — Unione Europea. Utilizzato come data warehouse analitico per comprendere e migliorare l’app, valutare e migliorare l’assistente di viaggio AI e produrre statistiche aggregate anonime. Coperto dal Data Processing Addendum di Google e dalle Clausole Contrattuali Standard dell’UE. I dati sono trattati all’interno dell’UE. • Expo (EAS) — Stati Uniti. Utilizzato per la consegna delle notifiche push. I trasferimenti di dati sono regolati dalle Clausole Contrattuali Standard (SCC) dell’UE. • Mapbox — Stati Uniti. Utilizzato per la visualizzazione di mappe e servizi di geolocalizzazione. La raccolta di dati telemetrici è facoltativa e può essere disabilitata nelle Impostazioni Privacy. I trasferimenti di dati sono regolati dalle Clausole Contrattuali Standard (SCC) dell’UE. • RevenueCat — Stati Uniti. Infrastruttura di gestione degli abbonamenti. Gli abbonamenti a pagamento non sono attivi in Wandermi (vedi «Funzioni a pagamento»): l’SDK è presente nell’app ma non viene trattato alcun dato di transazione o di fatturazione. Qualora le funzioni a pagamento venissero attivate, RevenueCat riceverebbe solo un identificativo utente anonimo e i metadati delle transazioni Apple/Google — nessuna email né altri dati personali. I trasferimenti di dati sono regolati dalle Clausole Contrattuali Standard (SCC) dell’UE. • Sentry — Germania (residenza dei dati nell’UE). Utilizzato per il monitoraggio degli errori e la segnalazione dei crash. Acquisisce stack trace, versione dell’app, versione del sistema operativo e un identificativo dispositivo anonimo; non vengono acquisiti email o altri dati personali, salvo esplicito allegato. • Microsoft 365 (Outlook — ospitato da Microsoft Ireland Operations Limited) — Unione Europea. Utilizzato per ospitare le caselle email istituzionali (support@, privacy@, legal@) e per gestire le comunicazioni in entrata che ci invii. Si applica il DPA standard di Microsoft Online Services. • Microsoft 365 (Exchange Online, tramite Microsoft Graph — Microsoft Ireland Operations Ltd). Agisce come nostro responsabile del trattamento anche per inviare le email di servizio: avvisi alla redazione sulle segnalazioni, esiti delle moderazioni, conferme e avvisi sul tuo account (per esempio la sospensione di un account di una persona sotto i 14 anni). Le email di servizio vengono cancellate automaticamente 30 giorni dopo l'invio.

Conserviamo i tuoi dati per i seguenti periodi: • Dati dell’account (nome, email, username, foto profilo, preferenze di viaggio): conservati finché il tuo account è attivo. Cancellati quando elimini l’account. • Messaggi: conservati per un massimo di 12 mesi; i messaggi più vecchi di 365 giorni vengono eliminati automaticamente. I messaggi che hai inviato vengono inoltre cancellati quando elimini l’account. • Dati dei viaggi (piani di viaggio, destinazioni salvate, foto): conservati finché il tuo account è attivo. Quando elimini un viaggio, questo entra in un periodo di recupero di 30 giorni durante il quale può essere ripristinato; dopo 30 giorni il viaggio e tutti i dati associati vengono eliminati definitivamente. Tutti i dati dei viaggi vengono cancellati anche quando elimini l’account. • Conversazioni e profilo viaggiatore dell’assistente AI: conservati finché l’account è attivo. Cancellati quando elimini l’account. • Dati di localizzazione: le coordinate approssimate (~1 km) salvate con i crowd report che invii e le coordinate esatte conservate separatamente ad accesso ristretto sono mantenute fino alla cancellazione dell’account. • Token di notifica push: rimosso al logout. • Copie pseudonimizzate nel warehouse analitico: testo delle conversazioni AI per un massimo di 12 mesi; metriche tecniche AI per un massimo di 24 mesi; altri eventi analitici per un massimo di 26 mesi. Vedi «Warehouse analitico» qui sotto. • Profilo «Come viaggi»: puoi cancellarlo in qualsiasi momento con «Cancella tutto»; i dati sensibili vengono cancellati non appena revochi il consenso. • Memoria del viaggio («L’assistente ricorda»): cancellata automaticamente 90 giorni dopo la fine del viaggio, o prima — vedi «La memoria del viaggio». • Anno di nascita: per tutta la durata dell'account. • Impronta dell'identificativo di accesso di chi ha meno di 14 anni: 90 giorni. • Email di servizio inviate tramite Microsoft 365: 30 giorni dall'invio. • Foto dei luoghi, segnalazioni e registro dell'accettazione: vedi «Foto dei luoghi». • Copie di sicurezza: i dati cancellati dai nostri sistemi possono restare nelle copie di sicurezza del database per un massimo di 8 settimane (le copie giornaliere si conservano 7 giorni, quelle settimanali 8 settimane); poi le copie vengono cancellate automaticamente.

Utilizziamo un data warehouse analitico (Google Cloud BigQuery, regione UE europe-west1) per tre finalità: (a) comprendere come viene usata l’app e migliorarla; (b) valutare e migliorare il nostro assistente di viaggio AI; (c) produrre statistiche anonime e aggregate sui flussi turistici e sull’affollamento. • Pseudonimizzazione e residenza: i record inviati al warehouse non contengono il tuo nome, la tua email né l’identificativo grezzo del tuo account — l’identificativo è sostituito da uno pseudonimo (un hash con chiave). Tutto il trattamento avviene nell’UE, ai sensi del DPA di Google e delle Clausole Contrattuali Standard dell’UE. • Miglioramento AI: le conversazioni con l’assistente AI possono essere utilizzate in forma pseudonimizzata per valutarlo e migliorarlo. Base giuridica: legittimo interesse. Puoi opporti scrivendo a privacy@wandermi.com. • Statistiche aggregate (B2G): le statistiche condivise con enti pubblici o organizzazioni di gestione della destinazione sono esclusivamente anonime — non contengono informazioni che permettano di identificarti e vengono applicate soglie minime di aggregazione affinché nessun individuo sia isolabile. Non vendiamo mai i tuoi dati personali. • Cancellazione — cosa accade davvero quando elimini l’account: cancelliamo i tuoi dati dai nostri sistemi operativi (database e archiviazione dei file) — profilo, username, viaggi, foto, messaggi, conversazioni e memorie AI, link di condivisione e le coordinate esatte dei tuoi crowd report. Le copie pseudonimizzate già trasferite nel warehouse analitico NON vengono rimosse singolarmente in quel momento: non contengono più l’identificativo del tuo account e sono conservate fino al termine del rispettivo periodo di conservazione (testo delle conversazioni AI fino a 12 mesi; metriche tecniche AI fino a 24 mesi; altri eventi analitici fino a 26 mesi), al termine del quale vengono eliminate. Gli aggregati anonimi già prodotti non costituiscono dato personale e sono conservati. Se desideri che rimuoviamo i record pseudonimizzati che ti riguardano prima di tale termine, scrivi a privacy@wandermi.com prima di eliminare l’account, così da poterli identificare.

Per stimare quanto sono affollati di solito i luoghi usiamo un nostro modello di stima. Combina: l’andamento tipico della giornata per ogni categoria di luogo; l’andamento stagionale e la notorietà del luogo, ricavati dal numero di visite, pubblico e aggregato, alle voci Wikipedia corrispondenti (Wikimedia e Wikidata, dati rilasciati in CC0); i calendari delle festività nazionali; e, dove disponibili, le segnalazioni di affollamento e i tempi di permanenza inviati dagli utenti di Wandermi, in forma aggregata, come descritto in questa informativa. Queste fonti di terze parti sono aggregate e anonime: non contengono alcuna informazione personale su di te o su altre persone identificabili. Non usiamo i dati «orari di punta» di Google Maps: abbiamo smesso di usare i dati di questo tipo raccolti in passato e li abbiamo cancellati dai sistemi che fanno funzionare il servizio. Le stime descrivono una giornata tipica («di solito»), non la situazione in tempo reale.

Wandermi include una funzionalità di messaggistica integrata che ti permette di comunicare con altri viaggiatori e di condividere piani di viaggio, foto, sondaggi e posizioni. • Crittografia: tutti i messaggi sono crittografati in transito (TLS 1.2+) e a riposo (AES-256). La crittografia end-to-end non è attualmente implementata; questo permette la moderazione lato server e la segnalazione dei contenuti richieste dal Digital Services Act dell’UE (Regolamento (UE) 2022/2065). • Contenuti memorizzati: testo dei messaggi, media allegati (foto), sondaggi, posizioni, reazioni, contesto delle risposte e metadati di modifica/fissaggio. Le conferme di lettura sono memorizzate per gestire i contatori dei messaggi non letti. • Moderazione: applichiamo limiti automatici di frequenza (massimo 40 messaggi al minuto e 300 all’ora per mittente) e gestiamo le segnalazioni degli utenti. I contenuti segnalati vengono esaminati e possono essere rimossi; gli account abusivi possono essere sospesi. • Segnalazione di contenuti illegali: puoi segnalare qualsiasi messaggio tramite il menu a pressione lunga → Segnala. Le segnalazioni sono esaminate dal nostro moderatore, di norma entro 48 ore. • Modifica e cancellazione: puoi modificare i tuoi messaggi entro 15 minuti dall’invio ed eliminarli in qualsiasi momento. L’eliminazione dell’account cancella i messaggi che hai inviato. • Notifiche push: le anteprime dei messaggi possono apparire nelle notifiche push. Puoi disabilitare le anteprime da Impostazioni → Notifiche. • Minori: ai sensi dell’Art. 8 del GDPR e dell’attuazione italiana, l’età minima per utilizzare la messaggistica è di 14 anni.

Ai sensi del Regolamento Generale sulla Protezione dei Dati, hai i seguenti diritti riguardo ai tuoi dati personali: • Diritto di accesso e alla portabilità (Art. 15 e 20): usa «Esporta i miei dati» nelle Impostazioni per scaricare un file JSON completo dei tuoi dati, incluse le conversazioni con l’assistente AI. • Diritto di rettifica (Art. 16): puoi correggere i tuoi dati personali in qualsiasi momento da Modifica profilo. • Diritto alla cancellazione (Art. 17): usa «Elimina account» nelle Impostazioni. Questo rimuove dai nostri sistemi operativi account, contenuti, messaggi, conversazioni e memorie AI, username, link di condivisione e le coordinate esatte dei tuoi crowd report. Per le copie pseudonimizzate nel warehouse analitico, vedi «Warehouse analitico» qui sopra. • Diritto di opposizione e di revoca del consenso (Art. 21): puoi disattivare la localizzazione da Impostazioni → Posizione e le notifiche da Impostazioni → Notifiche in qualsiasi momento. Per opporti al trattamento dei dati pseudonimizzati per finalità analitiche e di miglioramento dell’AI, scrivi a privacy@wandermi.com. Per opporti alla memoria del viaggio, disattiva «Impara dalle conversazioni» o togli le voci in «L’assistente ricorda» (vedi «La memoria del viaggio»). • Diritto di reclamo: puoi presentare reclamo al Garante per la protezione dei dati personali o all’autorità di controllo del tuo Paese di residenza. • Modifiche a questa informativa: in caso di modifiche rilevanti ti avviseremo nell’app prima che abbiano effetto. Ti chiederemo una nuova accettazione quando la modifica riguarda i Termini o quando la legge lo richiede (ad esempio un nuovo trattamento basato sul tuo consenso); in mancanza di accettazione, l’accesso al servizio è sospeso. • Diritto di opposizione alla profilazione (Art. 21): in «Come viaggi» puoi disattivare «Impara dalle conversazioni» e togliere le voci apprese o cancellare l’intero profilo. Per esercitare uno qualsiasi di questi diritti, contattaci all’indirizzo privacy@wandermi.com o utilizza la funzionalità corrispondente nell’app.

Alcuni dei tuoi dati personali possono essere trasferiti e trattati negli Stati Uniti, dove si trovano alcuni dei nostri fornitori di servizi (Firebase, Expo, Mapbox, RevenueCat). Questi trasferimenti sono tutelati dalle Clausole Contrattuali Standard (SCC) dell’UE approvate dalla Commissione Europea. I trattamenti svolti dall’assistente AI e dal warehouse analitico avvengono all’interno dell’Unione Europea (regione europe-west1).

Titolare del trattamento: WANDERMI S.R.L., sede legale Viale Umbria 128, 20135 Milano (MI) · P.IVA e C.F. 14880440962 · REA MI-2813220 (Registro Imprese di Milano Monza Brianza Lodi n. 14880440962) · capitale sociale € 5.000,00 interamente versato · PEC wandermi@namirialpec.it · startup innovativa iscritta nella sezione speciale del Registro delle Imprese. Non siamo tenuti a designare un Responsabile della Protezione dei Dati (DPO) ai sensi dell’art. 37 GDPR: non siamo un’autorità pubblica, le nostre attività principali non comportano il trattamento su larga scala di categorie particolari di dati, e non svolgiamo un monitoraggio regolare e sistematico degli interessati su larga scala. Riesaminiamo periodicamente questa valutazione e designeremo un DPO qualora ne ricorrano i presupposti. Per qualsiasi domanda su come trattiamo i tuoi dati personali, o per esercitare i tuoi diritti previsti dal GDPR, scrivi a privacy@wandermi.com. Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo del tuo Paese di residenza.

Wandermi è attualmente gratuita: non sono attivi abbonamenti né acquisti in-app e non trattiamo alcun dato di pagamento. Le funzioni indicate nell’app come «in arrivo» (ad esempio un abbonamento premium o la stampa di album fotografici) non sono attive. L’infrastruttura di gestione degli abbonamenti (RevenueCat) è presente nell’app ma non tratta transazioni finché le funzioni a pagamento non sono attive. Qualora le funzioni a pagamento venissero attivate, te lo comunicheremo in anticipo e aggiorneremo questa informativa. In ogni caso i pagamenti sarebbero elaborati esclusivamente da Apple (App Store) su iOS e da Google (Play Store) su Android: non raccoglieremmo né conserveremmo mai i dati della tua carta di pagamento o il tuo indirizzo di fatturazione.

Wandermi prevede di offrire album fotografici stampati opzionali in una futura release. Quando questa funzionalità sarà disponibile: • Condivisione: verranno condivisi con il nostro partner di stampa Peecho (con sede nei Paesi Bassi, UE) solo i dati strettamente necessari a evadere il tuo ordine: nome di spedizione, indirizzo di spedizione, le foto che selezioni esplicitamente per l’album e i dettagli dell’ordine. • Nessun altro dato condiviso: non condivideremo con Peecho l’email del tuo account, i tuoi piani di viaggio o qualsiasi altra informazione personale. • Opt-in esplicito per ordine: questa funzionalità richiede un consenso esplicito ogni volta che effettui un ordine. Nessun dato viene condiviso senza un ordine attivo. • Stato attuale: alla data della release attuale questa funzionalità non è attiva. Nessun dato è stato condiviso o viene condiviso con Peecho. Aggiorneremo questa informativa e avviseremo gli utenti in-app prima che la funzionalità diventi operativa.

Implementiamo misure di sicurezza standard del settore, inclusa la crittografia in transito (TLS 1.2+) e a riposo (AES-256), per proteggere le tue informazioni personali da accessi non autorizzati. L’app invia insieme alle richieste al nostro backend un’attestazione del dispositivo (Firebase App Check), che usiamo per riconoscere il traffico che non proviene da una copia autentica dell’app; stiamo attivando gradualmente il rifiuto delle richieste prive di un’attestazione valida. Le coordinate esatte dei crowd report sono conservate in una collezione ad accesso ristretto che le applicazioni client non possono leggere. L’accesso ai sistemi di produzione è limitato al personale autorizzato e protetto da autenticazione a più fattori.