Informativa sulla privacy

1. Titolare del trattamento

Ouchiner — società per azioni semplificata con socio unico (SASU) con capitale sociale di 1.000 €, iscritta al Registro delle imprese di Épinal con il numero 106 905 938, sede legale 39 rue Alix le Clerc, 88500 Poussay, Francia, rappresentata dal suo presidente Sig. Stéphane Perry.
Contatto: [email protected] — Sito: ouchiner.com

2. Dati raccolti

Dato	Finalità	Base giuridica	Conservazione
Indirizzo email	Creazione dell'account, comunicazioni transazionali	Esecuzione del contratto	Fino alla cancellazione dell'account
Password (con hash PBKDF2 a 100.000 iterazioni)	Autenticazione (aree professionale, negozio e ambasciatore)	Esecuzione del contratto	Durata dell'account
Numero di telefono (avvisi Pro con opzione SMS)	Invio degli avvisi via SMS	Esecuzione del contratto	Durata dell'account; mascherato nei log (conservate le ultime 4 cifre)
Informazioni su negozio ed eventi	Visualizzazione sulla mappa	Esecuzione del contratto	Durata dell'abbonamento
Foto caricate	Illustrazione della scheda	Esecuzione del contratto	Durata dell'abbonamento
Messaggi, foto e PDF scambiati tramite la messaggeria	Comunicazione diretta tra appassionati e commercianti (contatto relativo a un annuncio)	Esecuzione del contratto	365 giorni, poi cancellazione automatica; allegati conservati presso Cloudflare (R2); tutto è cancellato con l'eliminazione dell'account
Dati di pagamento	Gestione dei pagamenti (tramite Stripe)	Obbligo di legge	10 anni (obbligo contabile)
Posizione GPS (facoltativa)	Funzione «vicino a me»	Consenso	Non conservata — solo per la sessione
Indirizzo IP di registrazione	Prova del consenso, contrasto degli abusi	Legittimo interesse	Massimo 13 mesi

3. Cookie e traccianti

OuChiner non utilizza alcun cookie pubblicitario né tracciante di profilazione, e non è necessario alcun banner di consenso: impieghiamo esclusivamente cookie strettamente necessari al servizio (sessione, preferenze) e strumenti di misurazione del pubblico e della qualità che funzionano senza cookie e senza dati personali. Un'eccezione, illustrata nella tabella seguente: la libreria cartografica Mapbox scrive un identificativo tecnico nella memoria locale del tuo browser quando viene visualizzata una mappa.

Cookie / Strumento	Tipo	Durata	Finalità
session, admin_session, amb_session	Necessario	Sessione (da 8 ore a 30 giorni)	Mantenimento dell'accesso dell'utente
localStorage (token, geolocalizzazione)	Necessario	Persistente	Autenticazione PWA + posizione in cache per la funzione «vicino a me»
localStorage mapbox.eventData	Impostato da Mapbox	Persistente	Identificativo tecnico scritto dalla libreria cartografica Mapbox per la propria misurazione d'uso, quando visualizzi una mappa. Eliminabile cancellando i dati dei siti dal browser. Informativa: mapbox.com/legal/privacy
Plausible Analytics	Statistiche anonime	Nessun cookie	Conteggio delle visite, senza tracciamento individuale né profilazione. Esente da consenso (secondo la CNIL).
Cloudflare Web Analytics	Statistiche anonime	Nessun cookie	Prestazioni e affluenza, senza tracciamento individuale
Sentry	Monitoraggio degli errori (senza cookie)	30 giorni	Rilevamento dei bug JavaScript in modalità senza dati personali (nessun indirizzo IP né identità, nessuna registrazione di sessione). Base: legittimo interesse.

Poiché non viene depositato alcun cookie di tracciamento, non vi è alcuna scelta di consenso da gestire. Per opporti al trattamento di misurazione del pubblico o della qualità (legittimo interesse), scrivi a [email protected].

4. Condivisione dei dati — responsabili del trattamento

I tuoi dati non sono mai venduti. Possono essere condivisi con i seguenti responsabili del trattamento, nella stretta misura necessaria all'esecuzione del servizio:

• Stripe (pagamenti) — indirizzo email e dati della carta trasmessi al momento di un pagamento. Informativa: stripe.com/privacy
• Resend (email transazionali) — indirizzo email trasmesso per l'invio di conferme, avvisi e notifiche. Informativa: resend.com/legal/privacy-policy
• OVH SMS (invio di SMS per gli abbonati Pro che hanno sottoscritto l'opzione SMS) — numero di telefono trasmesso unicamente al momento dell'invio. Informativa: ovhcloud.com/it/personal-data-protection
• Mapbox (cartografia e geocodifica) — le richieste di ricerca di indirizzi possono includere i termini digitati. Informativa: mapbox.com/legal/privacy
• Cloudflare (hosting e banca dati) — tutti i dati del servizio sono ospitati presso Cloudflare. Informativa: cloudflare.com/privacypolicy
• Sentry (monitoraggio degli errori JavaScript, in modalità senza dati personali) — informativa: sentry.io/privacy
• Plausible / Cloudflare Web Analytics (statistiche anonime senza cookie, vedi §3)
• Open-Meteo (previsioni meteo per gli avvisi sui mercatini) — vengono trasmesse le coordinate GPS approssimative dell'evento. Nessun dato personale. Condizioni: open-meteo.com/en/terms
• Anthropic (assistenza tramite intelligenza artificiale — API Claude) — a seconda della funzione, possono essere trasmessi: descrizioni e foto degli oggetti e delle schede pubblicate dai commercianti (analisi e redazione degli annunci), il contenuto degli annunci di eventi inviati, i post pubblici dei nostri account social e i messaggi ricevuti su tali account (testo e nome pubblico del mittente) per preparare una bozza di risposta. Questi dati non sono utilizzati per l'addestramento dei modelli. Informativa: anthropic.com/legal/privacy
• OpenAI (generazione delle illustrazioni dei nostri post social) — nessun dato utente trasmesso: soltanto indicazioni di scena redatte da OuChiner. Informativa: openai.com/policies/privacy-policy
• DataForSEO (ricerca di parole chiave per il blog) — nessun dato utente trasmesso
• API francese di ricerca imprese (annuaire-entreprises.data.gouv.fr) — il numero SIRET inserito da un Ambasciatore Partner è trasmesso a questa API pubblica dello Stato francese per verificare l'esistenza e l'attività dell'impresa e recuperarne la denominazione e la sede legale.
• Billit (piattaforma accreditata di fatturazione elettronica) — soltanto per gli Ambasciatori Partner e al momento di un pagamento: denominazione, numero SIRET, sede legale, partita IVA se del caso e coordinate bancarie, necessarie all'emissione dell'autofattura. Informativa: billit.eu/it-it/privacy

Programma Ambasciatore Partner

Se aderisci al livello retribuito del programma ambasciatori, raccogliamo inoltre i seguenti dati per poterti pagare ed emettere fatture a tuo nome (mandato di autofatturazione):

• Il tuo numero SIRET, nonché la denominazione e la sede legale della tua impresa, recuperate automaticamente dal registro SIRENE — indicazioni obbligatorie in fattura.
• La tua partita IVA intracomunitaria, calcolata a partire dal tuo numero SIREN, se dichiari di applicare l'IVA.
• Le tue coordinate bancarie (IBAN e intestatario), cifrate in banca dati e decifrate soltanto al momento di un bonifico. Ogni consultazione è registrata.

Base giuridica: esecuzione del contratto che ci lega (art. 6, par. 1, lett. b del GDPR) e rispetto dei nostri obblighi contabili e fiscali (art. 6, par. 1, lett. c). Questi dati sono conservati per la durata del rapporto e successivamente per il periodo legale di conservazione delle fatture. Le tue coordinate bancarie sono cancellate non appena il tuo account viene chiuso, così come la tua identità di fatturazione se non è avvenuto alcun pagamento.

Le visite portate dal tuo link sono conteggiate senza cookie: registriamo un'impronta irreversibile dell'indirizzo IP del visitatore (hash con sale), che serve unicamente a non conteggiare due volte la stessa persona, mai a identificarla.

Trasferimenti al di fuori dell'Unione europea

Alcuni di questi responsabili del trattamento hanno sede negli Stati Uniti o possono trasferirvi dati — in particolare Cloudflare, Stripe, Sentry, Mapbox, Resend, Anthropic e OpenAI. A seconda del fornitore, tali trasferimenti sono disciplinati dalla decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa al quadro UE—USA per la protezione dei dati (Data Privacy Framework), qualora il fornitore vi sia certificato, e/o dalle clausole contrattuali tipo della Commissione europea integrate nel relativo contratto di trattamento. Puoi ottenere copia delle garanzie applicabili a un determinato fornitore scrivendo a [email protected].

Gli altri fornitori citati — OVH, Plausible Analytics e Open-Meteo — hanno sede nell'Unione europea.

5. I tuoi diritti

Ai sensi del GDPR, disponi dei seguenti diritti:

• Diritto di accesso — ottenere una copia dei tuoi dati
• Diritto di rettifica — correggere i tuoi dati inesatti
• Diritto alla cancellazione — chiedere l'eliminazione del tuo account e dei tuoi dati
• Diritto alla portabilità — ricevere i tuoi dati in un formato strutturato
• Diritto di opposizione — opporti a determinati trattamenti
• Diritto di limitazione del trattamento — chiedere il blocco temporaneo dell'uso dei tuoi dati, ad esempio mentre ne verifichiamo l'esattezza (art. 18 del GDPR)
• Diritto di revocare il consenso — in qualsiasi momento, per i trattamenti fondati sul consenso. È il caso della posizione GPS: è sufficiente revocare l'autorizzazione alla geolocalizzazione nel browser o nel dispositivo. La revoca non pregiudica la liceità del trattamento effettuato in precedenza.

Per esercitare questi diritti: [email protected]
Ci impegniamo a rispondere a ogni richiesta entro un termine massimo di 1 mese dal ricevimento.
Puoi inoltre presentare reclamo all'autorità di controllo francese, la CNIL, oppure all'autorità di controllo dello Stato membro in cui risiedi abitualmente, in cui lavori o in cui si è verificata la presunta violazione (art. 77 del GDPR).

6. Sicurezza

Le password sono conservate sotto forma di hash tramite PBKDF2-SHA256 con 100.000 iterazioni e sale univoco. I codici OTP (SMS, email) sono generati da un CSPRNG (crypto.getRandomValues), limitati a 3 tentativi e scadono dopo 10 minuti. I dati sono ospitati sull'infrastruttura Cloudflare con cifratura TLS. L'accesso ai dati è riservato al solo titolare del trattamento.

7. Contatto protezione dati

Responsabile della protezione dei dati: Stéphane Perry — [email protected]