Informativa sulla privacy

1. Chi è il titolare del trattamento

Il titolare del trattamento è Andrea Bellotto, che gestisce il servizio Lystia.

Indirizzo geografico: Via Augusto del Noce, 5, Samarate (VA), Italia. Contatto: privacy@lystia.it. Partita IVA: 03931630127

Al momento non è stato nominato un Responsabile della protezione dei dati. Se la situazione cambierà, questa informativa sarà aggiornata.

2. Ambito dell’informativa

L’informativa si applica al sito e alla web app Lystia, alle API backend, agli account, alla condivisione delle liste, alle prenotazioni dei regali, alle anteprime dei link prodotto e alle email di servizio.

I negozi e gli altri siti collegati dalle liste applicano le proprie informative. Lystia non controlla il trattamento svolto da tali terzi dopo che li visiti.

3. Dati personali trattati

• Dati dell’account: nome, cognome, email, hash della password, identificativi dell’account e, se abilitati, telefono o identificativi di accesso social.
• Dati di sessione e dispositivo: token di accesso e rinnovo, identificativi di sessione, modello del dispositivo, sistema operativo, versione dell’app, user-agent, indirizzo IP, token di notifica push, eventi di sicurezza e log tecnici.
• Contenuti delle liste: titoli, descrizioni, scadenze, visibilità, token di invito, desideri, note, prezzi, valute, negozi, link prodotto e URL delle immagini.
• Condivisioni e prenotazioni: liste possedute o aperte, relazioni di condivisione, stato di prenotazione o acquisto, identificativo di chi prenota e date associate.
• Preferenze sul dispositivo: tema, lingua, sessione attiva e identificativi delle liste condivise già aperte.
• Analitiche first-party di prodotto: identificativo dell’account, nome dell’evento, data e ora e limitate dimensioni selezionate dal server, come visibilità o modalità di suddivisione di un regalo di gruppo. Gli eventi non includono mai titoli o descrizioni di liste e desideri, email, link prodotto, token di invito o identificativi delle entità.
• Comunicazioni: informazioni inviate per assistenza, richieste privacy o segnalazioni.

4. Finalità e basi giuridiche

Quando usiamo il legittimo interesse, bilanciamo tale interesse con i tuoi diritti e aspettative. Puoi opporti come indicato di seguito.

• Fornire account e servizio, autenticare, salvare contenuti, condividere liste e gestire prenotazioni: esecuzione del contratto (art. 6(1)(b) GDPR).
• Proteggere gli account, prevenire abusi, correggere errori, mantenere l’integrità del servizio e difendere diritti: legittimo interesse a offrire un servizio sicuro e affidabile (art. 6(1)(f)).
• Rispondere a richieste legali e rispettare obblighi contabili, consumeristici, privacy o di altra natura: obbligo legale (art. 6(1)(c)).
• Inviare messaggi operativi come reset password, avvisi di sicurezza e comunicazioni di servizio: contratto o legittimo interesse, secondo il messaggio.
• Inviare notifiche push quando le abiliti: esecuzione del servizio richiesto e scelta effettuata nelle impostazioni del dispositivo.
• Comprendere l’adozione delle funzioni principali tramite eventi first-party minimizzati: legittimo interesse a migliorare e gestire un servizio utile (art. 6(1)(f)). Questi eventi non sono usati per pubblicità o tracciamento tra siti.

5. Chi può vedere le informazioni

Non inserire dati sensibili, informazioni riservate o dati di altre persone senza una base lecita e, quando necessario, il loro permesso.

• Le liste private sono destinate al solo proprietario.
• Le liste su invito sono visibili agli utenti autenticati che ricevono e usano un invito valido. Chi riceve il link può inoltrarlo: condividilo con attenzione.
• Le liste pubbliche possono essere visibili a qualsiasi utente Lystia autenticato.
• La visibilità delle prenotazioni dipende dalle impostazioni scelte. Lystia può nascondere i dettagli al proprietario per preservare la sorpresa e mostrarli agli utenti autorizzati.

6. Fornitori e destinatari

Quando chiedi di importare un link prodotto, il backend contatta la pagina pubblica del negozio per leggere i metadati disponibili. Quando viene mostrata un’immagine remota, il browser può collegarsi direttamente al relativo host, che può ricevere IP e informazioni del browser secondo le proprie regole. Lystia richiede queste immagini senza inviare l’header referrer.

Lystia non vende dati personali.

• Fornitori di hosting, distribuzione dei contenuti, backend, database, sicurezza e infrastruttura tecnica che operano su nostre istruzioni.
• Fornitori di invio email, incluso Mailgun se configurato, per i messaggi transazionali.
• Google quando scegli l’accesso Google e Firebase Cloud Messaging quando abiliti le notifiche push.
• Consulenti, revisori, assicuratori o autorità quando ragionevolmente necessario o previsto dalla legge.
• Altri utenti Lystia in base alle scelte di visibilità e condivisione.

7. Trasferimenti internazionali

Alcuni fornitori possono trattare dati fuori dal SEE. Se il Paese non beneficia di una decisione di adeguatezza, utilizziamo una garanzia disponibile, come le Clausole contrattuali standard della Commissione europea, con misure supplementari ove opportuno.

Puoi chiedere informazioni sulla garanzia applicabile usando i contatti sopra indicati.

8. Tempi di conservazione

Quando non è indicato un termine fisso, consideriamo finalità, sensibilità, termini legali, esigenze di sicurezza e possibilità di cancellare o anonimizzare i dati.

• Account e liste: per la durata dell’account, poi cancellati o anonimizzati dopo l’eliminazione, fatti salvi backup e obblighi legali.
• Liste e desideri eliminati: rimossi dal servizio attivo; copie residue possono restare temporaneamente nei backup protetti fino alla sovrascrittura.
• Token e sessioni: fino a scadenza, logout, revoca o eliminazione dell’account, con eventuale breve conservazione di sicurezza.
• Cookie tema e lingua: fino a 12 mesi, salvo sostituzione o cancellazione.
• Analitiche first-party di prodotto: per la durata dell’account. Gli eventi collegati al tuo account sono eliminati quando l’account viene cancellato; i report aggregati che non identificano più un account possono essere conservati più a lungo.
• Local storage: fino al logout, alla cancellazione dei dati del sito o alla rimozione da parte dell’app. Gli identificativi delle liste condivise possono restare fino alla pulizia dei dati del sito.
• Log tecnici e di sicurezza: solo per il tempo necessario a indagare incidenti, mantenere il servizio e rispettare la legge.

9. Cookie e memoria del dispositivo

I cookie lystia-theme e lystia-locale ricordano aspetto e lingua fino a un anno con SameSite=Lax. Il local storage conserva credenziali di sessione e identificativi delle liste condivise per fornire il servizio richiesto.

Le analitiche first-party di Lystia sono registrate sul server e non usano cookie analitici, identificativi del browser o local storage. La web app non carica Firebase Analytics o Google Analytics.

Puoi eliminare cookie e local storage dal browser; eliminando la sessione verrai disconnesso e cancellando le preferenze le scelte saranno ripristinate.

10. I tuoi diritti GDPR

Per esercitare un diritto, scrivi a privacy@lystia.it. Potremmo chiedere informazioni sufficienti a verificare l’identità e proteggere l’account. Rispondiamo normalmente entro un mese, salve le proroghe previste dalla legge.

Puoi anche presentare reclamo all’autorità di controllo del Paese SEE in cui vivi o lavori o in cui si è verificato il problema. Se il titolare è stabilito in Italia, l’autorità capofila è il Garante per la protezione dei dati personali.

• Accedere ai dati e riceverne una copia.
• Rettificare dati inesatti o incompleti.
• Chiedere la cancellazione quando ricorrono le condizioni.
• Limitare il trattamento in determinati casi.
• Ricevere i dati forniti in formato strutturato, comune e leggibile da dispositivo e chiederne la portabilità, ove applicabile.
• Opporti ai trattamenti basati sul legittimo interesse, incluso il marketing diretto.
• Revocare il consenso in qualsiasi momento, senza pregiudicare i trattamenti precedenti.
• Non essere sottoposto a decisioni basate unicamente su processi automatizzati con effetti giuridici o analogamente significativi. Lystia non adotta attualmente tali decisioni.

11. Sicurezza

Adottiamo misure tecniche e organizzative proporzionate, tra cui controlli di accesso, hashing delle password, API autenticate, cifratura del trasporto in produzione e accesso limitato all’infrastruttura. Nessun servizio online può garantire sicurezza assoluta.

Mantieni riservati credenziali e link di invito. Contattaci subito se ritieni che un account o invito sia compromesso.

12. Minori

Lystia non è rivolto a minori di 16 anni, che non devono creare un account. Se ritieni che un minore abbia fornito dati in violazione della legge, contattaci per consentirci di verificare e cancellare i dati quando necessario.

13. Modifiche e contatti

Possiamo aggiornare l’informativa quando cambiano servizio, fornitori o requisiti legali. Le modifiche sostanziali saranno comunicate tramite il servizio o altro canale adeguato prima dell’efficacia, quando richiesto.

Domande, richieste e segnalazioni privacy possono essere inviate a privacy@lystia.it o a Via Augusto del Noce, 5, Samarate (VA), Italia.