Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento ai sensi dell'art. 4, n. 7, del GDPR è:

• TOY GmbH
• Dr. Adolf-Schärf-Straße 1/2/24
• 2353 Guntramsdorf, Austria
• Partita IVA: ATU78882167
• E-mail: support@tapradar.app
• Sito web: www.tapradar.app

Non è stato nominato un responsabile della protezione dei dati aziendale, poiché non sussistono i presupposti di cui all'art. 37 del GDPR. Si prega di inviare le richieste relative alla privacy all'indirizzo e-mail sopra indicato; le tratteremo senza ritardo e comunque entro un mese dal ricevimento.

2. Struttura della presente informativa

Per consentirti di orientarti rapidamente, questa informativa sulla privacy è suddivisa in una parte generale (punti 1-4), una parte specifica che descrive in dettaglio le quattro aree funzionali dell'app nonché i dati di localizzazione e push (punti 5-7), una parte relativa ai clienti commerciali, ai pagamenti e alle recensioni (punti 8-12), una parte relativa al sito web, ai destinatari, al trasferimento verso paesi terzi e ai periodi di conservazione (punti 13-16), nonché una parte relativa ai tuoi diritti, alla sicurezza dei dati e ad altre informazioni (punti 17-22). Un elenco delle fonti ufficiali è riportato alla fine del documento.

3. Principi generali del trattamento dei dati

Trattiamo i dati personali nel rispetto dei principi del GDPR, in particolare liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, nonché integrità e riservatezza (art. 5 del GDPR). Ogni trattamento di dati personali si basa su almeno una delle seguenti basi giuridiche:

• Art. 6, par. 1, lett. a) del GDPR – consenso dell'interessato, in particolare per la condivisione dei dati di localizzazione, la ricezione di notifiche push e la funzione facoltativa di amici e classifica
• Art. 6, par. 1, lett. b) del GDPR – necessità per l'esecuzione di un contratto o per l'adozione di misure precontrattuali, ad esempio la fornitura delle funzioni Radar, Timbro, Carte e Home dell'app nonché la gestione degli abbonamenti
• Art. 6, par. 1, lett. c) del GDPR – adempimento di un obbligo legale, ad esempio obblighi di conservazione fiscali e societari
• Art. 6, par. 1, lett. f) del GDPR – tutela di legittimi interessi, ad esempio prevenzione di frodi e abusi, sicurezza informatica e sviluppo della piattaforma, purché tali interessi non siano prevalenti rispetto agli interessi o ai diritti fondamentali dell'interessato

4. Panoramica: chi tratta cosa?

TapRadar collega due gruppi di utenti: i clienti finali che scoprono attività commerciali locali e raccolgono timbri tramite l'app gratuita, e i clienti commerciali che gestiscono la fidelizzazione dei clienti tramite la dashboard a pagamento. Entrambi i gruppi generano dati che vengono trattati in parte esclusivamente da TOY GmbH, in parte congiuntamente con il rispettivo partner contrattuale. I punti 5-12 seguenti descrivono in dettaglio questi flussi di dati, suddivisi per le quattro aree dell'app nonché per i dati di localizzazione, push, pagamento e recensioni.

5.1 Radar – scoprire attività commerciali locali

Nell'area Radar ti mostriamo su una mappa le attività partner TapRadar nelle tue vicinanze. Puoi restringere la visualizzazione tramite filtri (offerta, buono, ricompensa, meglio valutati, raggio di 500 metri) e categorie come caffè, ristorante, parrucchiere o mercato. Per ogni attività partner vengono visualizzati gli orari di apertura, le recensioni e un badge del piano che indica la tariffa scelta da tale attività (Bronze, Gold o Platinum); questo badge riguarda esclusivamente il cliente commerciale e non costituisce un dato personale che ti riguarda.

Per fornire questa funzione, trattiamo la tua posizione (vedi punto 6), le impostazioni di filtro e categoria da te scelte, nonché le tue interazioni con le attività partner visualizzate, ad esempio l'apertura del profilo di un'attività. Utilizziamo questi dati di interazione per migliorare i risultati di ricerca e aumentare la pertinenza delle attività partner visualizzate. Base giuridica: art. 6, par. 1, lett. a) del GDPR per la condivisione della posizione, art. 6, par. 1, lett. b) e f) del GDPR per i dati di filtro, categoria e interazione.

5.2 Timbro – raccogliere timbri digitali

Nell'area Timbro puoi ricevere automaticamente un timbro digitale toccando un punto NFC o, in alternativa, scansionando un codice QR alla cassa di un'attività partner. I tuoi progressi, ad esempio 7 timbri su 10, vengono visualizzati immediatamente; al raggiungimento del numero di timbri richiesto puoi riscattare la ricompensa memorizzata, ad esempio un caffè gratis o uno sconto. Per ogni timbro ricevi inoltre punti per il tuo livello nell'area Home.

A tal fine trattiamo l'ora e il luogo di ogni timbratura, l'attività partner interessata, il numero attuale di timbri per ciascuna carta fedeltà, le ricompense riscattate nonché il relativo codice di riscatto. Base giuridica: art. 6, par. 1, lett. b) del GDPR. Per verificare che una timbratura sia effettivamente avvenuta sul posto, confrontiamo inoltre la posizione del tuo dispositivo; per maggiori dettagli vedi il punto 6.

5.3 Carte – portafoglio digitale per carte fedeltà esistenti

Nell'area Carte puoi memorizzare digitalmente nel tuo portafoglio TapRadar carte fedeltà di terzi già esistenti, ad esempio di Billa, DM, H&M, Spar o Hofer, scansionando o inserendo manualmente il rispettivo codice a barre o codice QR, per poi mostrarla alla cassa. I marchi citati sono solo esempi di carte che memorizzi tu stesso; TapRadar non è collegata a queste aziende e non effettua alcuno scambio di dati con esse.

I dati delle carte e dei codici a barre da te memorizzati vengono conservati in forma crittografata e utilizzati esclusivamente per la visualizzazione nella tua app. Base giuridica: art. 6, par. 1, lett. b) del GDPR, poiché ci incarichi specificamente della memorizzazione aggiungendo la carta.

5.4 Home – profilo e gamification

Nell'area Home trovi il tuo profilo con un sistema di livelli a 20 gradini che va da "Principiante" a "Campione". Guadagni punti per i timbri raccolti, le recensioni pubblicate e gli amici invitati, segui un obiettivo settimanale e usufruisci di un sistema di serie (streak) in cui sette giorni attivi consecutivi attivano un bonus. Inoltre puoi invitare amici e confrontare i tuoi progressi in una classifica.

A tal fine trattiamo il tuo saldo punti, il tuo livello, il contatore della serie, la cronologia dei tuoi obiettivi nonché – se utilizzi attivamente questa funzione – l'elenco degli amici da te invitati o collegati e i relativi dati di progresso aggregati a te visibili, purché anche tali persone abbiano acconsentito alla reciproca visibilità. Base giuridica per le funzioni principali (livello, punti, serie, obiettivo settimanale): art. 6, par. 1, lett. b) del GDPR. Base giuridica per la funzione facoltativa di amici e classifica: art. 6, par. 1, lett. a) del GDPR, poiché ciò rende visibili dati ad altre persone. Livelli, punti e posizioni in classifica non hanno alcun valore monetario e non sono trasferibili.

6. Dati di localizzazione e GPS in dettaglio

TapRadar utilizza i dati di localizzazione del tuo dispositivo per due finalità distinte: (a) la funzione Radar per mostrare le attività partner nelle tue vicinanze e (b) la verifica delle visite dei clienti, confrontando la posizione del tuo dispositivo al momento di una timbratura NFC o QR con la posizione memorizzata dell'attività partner, al fine di impedire una timbratura senza presenza fisica.

A seconda del sistema operativo, puoi controllare la condivisione della posizione in modo granulare, ad esempio con le opzioni "sempre", "solo durante l'utilizzo dell'app" o "una sola volta". Per la funzione principale di verifica dei timbri è sufficiente la condivisione durante l'utilizzo dell'app; una condivisione permanente della posizione in background è necessaria solo se desideri utilizzare la pubblicità di prossimità di un'attività partner Platinum (vedi punto 7.2). Base giuridica: art. 6, par. 1, lett. a) del GDPR in combinato disposto con le impostazioni di autorizzazione del tuo sistema operativo, in via subordinata il nostro legittimo interesse alla prevenzione delle frodi ai sensi dell'art. 6, par. 1, lett. f) del GDPR. Puoi revocare la condivisione della posizione in qualsiasi momento tramite le impostazioni del tuo dispositivo; alcune funzioni, in particolare la verifica dei timbri e la pubblicità di prossimità, non saranno più disponibili o lo saranno solo in modo limitato.

7.1 Notifiche di servizio da TapRadar

Inviamo notifiche push di servizio sotto la nostra responsabilità, ad esempio in merito alla sicurezza dell'account, a modifiche sostanziali della piattaforma o alla conferma di operazioni. Base giuridica: art. 6, par. 1, lett. b) e f) del GDPR.

7.2 Notifiche push marketing e di campagna dei clienti commerciali

I clienti commerciali possono inviare tramite la dashboard campagne e notifiche push ai clienti finali che sono già clienti dell'attività partner interessata (almeno un timbro raccolto) o che si trovano nelle vicinanze – nell'ambito della pubblicità di prossimità disponibile esclusivamente nel piano Platinum – e che hanno concesso a tal fine la condivisione della posizione. Le notifiche push sono limitate a una determinata frequenza a seconda del piano (Gold: fino a 2 campagne immagine/PDF al mese, nessuna notifica push; Platinum: fino a 4 campagne al mese oltre a notifiche push, attivazione di prossimità, conto alla rovescia della campagna e retargeting entro 30 giorni dall'ultima visita).

Puoi disattivare in qualsiasi momento la ricezione di notifiche push di marketing e campagna, completamente o per singola attività partner, tramite le impostazioni del tuo dispositivo o le impostazioni all'interno dell'app, senza che ciò comporti la perdita dell'accesso alle funzioni principali dell'app. Base giuridica: art. 6, par. 1, lett. a) del GDPR in combinato disposto con il § 174 del TKG 2021.

8. Registrazione e account utente (clienti finali)

Al momento della registrazione nell'app TapRadar raccogliamo l'indirizzo e-mail, la password (memorizzata in forma crittografata), il nome visualizzato scelto nonché informazioni facoltative sul profilo. Finalità: creazione, gestione e protezione del tuo account utente. Base giuridica: art. 6, par. 1, lett. b) del GDPR.

9. Registrazione, account e dati aziendali (clienti commerciali)

Per i clienti commerciali che sottoscrivono un piano Bronze, Gold o Platinum, trattiamo inoltre: ragione sociale, forma giuridica, indirizzo della sede, partita IVA, referente (nome, e-mail, numero di telefono), orari di apertura, categoria e descrizione dell'attività, nonché materiale pubblicitario in immagini e PDF caricato e contenuti delle campagne. Finalità: esecuzione del contratto, fornitura della dashboard per clienti commerciali, fatturazione. Base giuridica: art. 6, par. 1, lett. b) e c) del GDPR.

10. Sistema PIN per i dipendenti

A seconda del piano, i clienti commerciali possono configurare fino a 15 (Platinum), 5 (Gold) o 1 (Bronze) accessi per dipendenti con un codice PIN individuale. A tal fine trattiamo le iniziali o i nomi dei dipendenti inseriti dal cliente commerciale, nonché un registro delle attività, gestito automaticamente, delle timbrature e dei riscatti effettuati tramite il rispettivo PIN. Il rispettivo cliente commerciale, in qualità di datore di lavoro, è responsabile della liceità di questo trattamento nei confronti dei dipendenti interessati; TOY GmbH fornisce a tal riguardo esclusivamente l'infrastruttura tecnica. Base giuridica per TOY GmbH: art. 6, par. 1, lett. b) del GDPR nonché art. 6, par. 1, lett. f) del GDPR.

11. Elaborazione dei pagamenti

L'elaborazione dei pagamenti per i piani a pagamento avviene tramite il nostro fornitore di servizi di pagamento Stripe. Noi stessi non memorizziamo dati completi delle carte di pagamento; questi vengono trattati esclusivamente da Stripe. Riceviamo da Stripe conferme sullo stato del pagamento e sugli importi delle fatture, nonché, se del caso, le ultime quattro cifre del mezzo di pagamento utilizzato, a fini di documentazione e fatturazione. Base giuridica: art. 6, par. 1, lett. b) e c) del GDPR. Per ulteriori informazioni sul trattamento dei dati da parte di Stripe, consulta l'informativa sulla privacy di Stripe su stripe.com/privacy.

12. Recensioni

Quando tu, in qualità di cliente finale, pubblichi una recensione su un'attività partner, trattiamo il testo della recensione, la valutazione in stelle, l'orario nonché la prova di una visita verificata (prova del timbro). Le recensioni vengono mostrate all'attività partner e ad altri utenti dell'app insieme al tuo nome visualizzato. Base giuridica: art. 6, par. 1, lett. a) del GDPR in combinato disposto con l'art. 6, par. 1, lett. f) del GDPR. Se una recensione viene segnalata come illecita, ad esempio perché offensiva o palesemente non basata su una visita reale, esaminiamo la segnalazione e la recensione interessata nell'ambito della nostra procedura di segnalazione ed esame e comunichiamo l'esito sia alla persona che ha effettuato la segnalazione sia all'autore della recensione.

13. Utilizzo del sito web, file di log del server e cookie

Quando visiti il nostro sito web www.tapradar.app, il nostro provider di hosting elabora automaticamente dati di accesso tecnici (indirizzo IP, data e ora dell'accesso, pagina visitata, browser e sistema operativo utilizzati, URL di riferimento) in file di log del server. Finalità: garantire un funzionamento privo di interruzioni e la sicurezza informatica. Base giuridica: art. 6, par. 1, lett. f) del GDPR. Il sito web utilizza esclusivamente cookie tecnicamente necessari per il funzionamento del sito; attualmente non vengono utilizzati cookie di tracciamento o marketing. Qualora ciò dovesse cambiare in futuro, richiederemo il tuo consenso tramite un banner di consenso ai cookie.

14. Destinatari e responsabili del trattamento

Trasmettiamo i dati personali solo nella misura necessaria per l'erogazione dei nostri servizi o laddove siamo legalmente obbligati a farlo. I nostri responsabili del trattamento o destinatari comprendono in particolare:

• fornitori di servizi di hosting e infrastruttura (gestione di server e database)
• Stripe (elaborazione dei pagamenti)
• fornitori di servizi di notifica push (ad es. Apple Push Notification Service, Firebase Cloud Messaging) per notifiche push di servizio e campagna
• fornitori di servizi di invio e-mail (comunicazione transazionale e di servizio)
• fornitori di servizi IT nell'ambito di manutenzione e supporto

Con tutti i responsabili del trattamento abbiamo concluso, nella misura legalmente richiesta, accordi sul trattamento dei dati ai sensi dell'art. 28 del GDPR. Nella misura in cui un'attività partner (cliente commerciale) visualizza nella dashboard i tuoi dati relativi a timbri, visite o campagne nell'ambito dell'esecuzione del contratto, essa agisce a tal riguardo come titolare autonomo del trattamento oppure, nel caso di campagne push, come contitolare ai sensi del punto 7.2 della presente informativa.

15. Trasferimento verso paesi terzi

Nella misura in cui alcuni dei fornitori di servizi sopra citati trattano dati al di fuori dello Spazio economico europeo (SEE), il che può riguardare in particolare determinati servizi cloud e di notifica push di fornitori statunitensi, garantiamo, mediante garanzie adeguate, un livello adeguato di protezione dei dati, in particolare tramite la conclusione di clausole contrattuali standard dell'UE ai sensi dell'art. 46, par. 2, lett. c) del GDPR o la certificazione del destinatario nell'ambito del Data Privacy Framework UE-USA, ove applicabile.

16. Periodi di conservazione

Conserviamo i dati personali solo per il tempo necessario alle rispettive finalità:

• Dati dell'account (clienti finali e commerciali): per la durata dell'esistenza dell'account utente o del rapporto contrattuale; dopo la cancellazione dell'account, i dati vengono di norma cancellati entro 30 giorni, salvo obblighi legali di conservazione contrari
• Dati relativi a timbri, ricompense e riscatti: per la durata dell'account presso la rispettiva attività partner; dopo la risoluzione del contratto con il cliente commerciale, le relative carte fedeltà vengono contrassegnate come inattive e cancellate dopo 12 mesi
• Dati del portafoglio carte (punto 5.3): fino alla cancellazione autonoma da parte tua o fino alla cancellazione del tuo account
• Dati di gamification (livello, punti, serie, obiettivo settimanale): per la durata dell'esistenza del tuo account
• Collegamenti con amici e classifica: fino alla rimozione da parte tua o fino alla cancellazione del tuo account
• Dati di fatturazione e pagamento: 7 anni ai sensi del § 132 BAO e del § 212 UGB
• Registri di distribuzione e interazione push: 12 mesi
• File di log del server: generalmente da 30 a 90 giorni
• Dati di localizzazione per la verifica dei timbri: nessuna conservazione permanente; trattamento solo per la durata della verifica, successivamente ridotti a un registro degli eventi (ora, esito)
• Comunicazioni di assistenza: 3 anni dalla chiusura della pratica, salvo conservazione più lunga legalmente prescritta

17. I tuoi diritti in qualità di interessato

Fatti salvi i presupposti di legge, ti spettano i seguenti diritti:

• diritto di accesso (art. 15 del GDPR)
• diritto di rettifica (art. 16 del GDPR)
• diritto alla cancellazione (art. 17 del GDPR)
• diritto di limitazione del trattamento (art. 18 del GDPR)
• diritto alla portabilità dei dati (art. 20 del GDPR)
• diritto di opposizione ai trattamenti basati sull'art. 6, par. 1, lett. f) del GDPR (art. 21 del GDPR)
• diritto di revocare un consenso prestato, con effetto per il futuro (art. 7, par. 3, del GDPR)

Per esercitare questi diritti è sufficiente una comunicazione informale a support@tapradar.app. Tratteremo la tua richiesta senza ritardo e comunque entro un mese; tale termine può essere prorogato di ulteriori due mesi in caso di richieste complesse o numerose, di cui ti informeremo.

18. Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate ai sensi dell'art. 32 del GDPR per proteggere i tuoi dati da perdita, uso improprio e accesso non autorizzato, tra cui la crittografia della trasmissione dei dati (TLS), la crittografia di dati memorizzati particolarmente sensibili come password e dati del portafoglio carte, restrizioni di accesso secondo il principio del privilegio minimo, aggiornamenti di sicurezza regolari nonché la registrazione di eventi rilevanti per la sicurezza. Le nostre misure di sicurezza vengono costantemente adeguate allo stato dell'arte.

19. Nessuna decisione automatizzata, profilazione limitata

Livelli, punti e classifiche all'interno dell'app si basano su regole automatizzate ma pienamente trasparenti e comprensibili, prive di effetti giuridici o di effetti analogamente significativi ai sensi dell'art. 22 del GDPR. Nell'ambito della pubblicità di prossimità (punto 7.2) ha luogo una profilazione limitata basata sulla posizione, al fine di mostrarti notifiche di attività partner nelle vicinanze; questo trattamento si basa esclusivamente sul tuo consenso e non ha alcun effetto giuridico o effetto analogamente significativo ai sensi dell'art. 22 del GDPR. Non ha luogo alcuna decisione automatizzata con effetti giuridici nei confronti degli utenti.

20. Tutela dei minori

TapRadar non è specificamente rivolta a bambini di età inferiore ai 14 anni. Qualora venissimo a conoscenza del fatto che dati personali di un minore al di sotto dell'età minima rilevante ai sensi del diritto nazionale sono stati raccolti senza il consenso di un genitore o tutore, provvederemo a cancellare tali dati senza ritardo.

21. Modifiche alla presente informativa sulla privacy

Ci riserviamo il diritto di modificare la presente informativa sulla privacy per adeguarla a mutate condizioni giuridiche o a nuove funzionalità della piattaforma. Fa fede di volta in volta la versione pubblicata su www.tapradar.app/datenschutz al momento della tua visita o del tuo utilizzo. In caso di modifiche sostanziali basate su una base giuridica modificata, come un consenso inizialmente prestato, richiederemo nuovamente tale consenso.

22. Contatti e diritto di reclamo

Per domande relative alla privacy puoi contattarci all'indirizzo support@tapradar.app. Fatto salvo ogni altro rimedio amministrativo o giurisdizionale, hai il diritto di proporre reclamo a un'autorità di controllo, in particolare all'autorità competente per l'Austria:

• Autorità austriaca per la protezione dei dati (Österreichische Datenschutzbehörde)
• Barichgasse 40-42, 1030 Vienna, Austria
• Sito web: www.dsb.gv.at

Fonti

Fonti ufficiali dell'UE e austriache alla base della presente informativa sulla privacy:

• Regolamento generale sulla protezione dei dati (GDPR), Regolamento (UE) 2016/679: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Autorità austriaca per la protezione dei dati: https://www.dsb.gv.at/