Informativa sulla privacy

Simon Abplanalp, c/o abplanalp-it
Schmittenweg 7, 5707 Seengen, Svizzera
Email: support@routebook.io

Trattiamo dati personali solo quando sussiste una base giuridica ai sensi dell'art. 6 GDPR:

Sull'interazione con le email: i link nelle nostre email automatiche passano per un reindirizzamento sui nostri server, così possiamo capire quali messaggi vale la pena inviare. Non utilizziamo pixel di tracciamento e non registriamo se ha aperto un'email, ma solo se è stato cliccato un link. Nulla viene condiviso con terzi e i link di disiscrizione non vengono mai tracciati. Può smettere del tutto di ricevere email non essenziali nelle impostazioni del Suo account.

Sulle pagine condivise: quando crea un link di condivisione, contiamo quante volte viene aperta la pagina corrispondente, così possiamo valutare se offrire la condivisione abbia senso. Registriamo quale dei Suoi link è stato aperto, il sito web da cui proveniva il visitatore, il paese approssimativo e, se ha usato uno dei nostri pulsanti di condivisione, su quale servizio lo ha pubblicato. Non registriamo chi fosse il visitatore. Per una visualizzazione non vengono memorizzati né account, né indirizzo IP, né cookie, e i visitatori non vengono tracciati tra siti diversi. L'indirizzo IP di un visitatore viene tenuto in memoria solo per il tempo necessario a non contare due volte lo stesso lettore, e non viene mai memorizzato. Se cancella il Suo account, i Suoi link di condivisione vengono eliminati e le registrazioni delle visualizzazioni rimaste non La identificano più.

Sulla pagina iniziale: contiamo quale lingua richiede il browser dei visitatori, per sapere quali lingue offrire. Viene conservato solo un totale giornaliero per lingua del browser, lingua mostrata e paese approssimativo, mai nulla su un singolo visitatore, e i membri che hanno effettuato l'accesso non vengono contati. Come per le pagine condivise, l'indirizzo IP viene tenuto in memoria solo per il tempo necessario a non contare due volte un ricaricamento, e non viene mai memorizzato.

Utilizziamo cookie per far funzionare e migliorare il nostro sito web. Un banner dei cookie Le consente di gestire le Sue preferenze. I cookie necessari vengono impostati senza consenso, perché sono indispensabili al funzionamento del servizio.

• Necessari: sessione di autenticazione, token di sicurezza, le Sue scelte sui cookie (art. 6(1)(b) GDPR)
• Necessari: cookie della lingua (NEXT_LOCALE, 12 mesi), impostato solo quando sceglie una lingua nelle Impostazioni, affinché il sito continui a mostrarla. Contiene solo il codice della lingua (art. 6(1)(b) GDPR)
• Analisi: Umami – statistiche sulle pagine visitate, attente alla privacy e senza cookie. Non imposta cookie e non La traccia tra siti diversi (art. 6(1)(f) GDPR / consenso)
• Funzionali: widget di pagamento Stripe, caricati solo quando apre una procedura di pagamento (art. 6(1)(b) GDPR)
• Funzionali: cookie di invito (rb_ref, 30 giorni). Quando apre un link di invito o la mappa, la pagina di viaggio, il riepilogo dell'anno o il profilo condivisi di un membro, ricorda chi Le ha inviato il link, così che, se si registra, Lei e quel membro riceviate ciascuno il mese di Pro gratuito promesso dall'invito. Contiene solo il codice di invito o il nome utente pubblico di quel membro (art. 6(1)(b) GDPR)
• Marketing: pixel pubblicitario di Reddit, usato per misurare se i nostri annunci su Reddit portano a registrazioni (art. 6(1)(a) GDPR – consenso)

Può revocare il consenso in qualsiasi momento tramite il banner dei cookie o cancellando i cookie del Suo browser.

• Supabase (Supabase Inc., USA) – hosting del database e dell'autenticazione. I dati sono conservati nella regione UE (Francoforte). Supabase agisce come responsabile del trattamento in base a un accordo sul trattamento dei dati. Base del trasferimento: Clausole contrattuali standard (SCC).
• Vercel (Vercel Inc., USA) – hosting del sito web e rete edge. Base del trasferimento: Clausole contrattuali standard (SCC). Informativa sulla privacy di Vercel.
• Stripe (Stripe, Inc., USA) – elaborazione dei pagamenti. I Suoi dati di pagamento vengono trasmessi direttamente a Stripe e non vengono mai conservati sui nostri server. Stripe è certificata nell'ambito del Data Privacy Framework UE–USA. Informativa sulla privacy di Stripe.
• Umami (Umami Software, Inc., USA) – analisi del sito web. Umami non usa cookie e raccoglie visualizzazioni di pagina aggregate, sito di provenienza e paese approssimativo, senza creare un Suo profilo né tracciarLa su altri siti web. Informativa sulla privacy di Umami.
• Reddit (Reddit, Inc., USA) – misurazione delle conversioni pubblicitarie. Se arriva da uno dei nostri annunci su Reddit, il pixel di Reddit registra che è avvenuta una visita o una registrazione. Se ha effettuato l'accesso, viene trasmesso un identificativo hash derivato dal Suo indirizzo email, così che la conversione possa essere abbinata. Base del trasferimento: Clausole contrattuali standard. Informativa sulla privacy di Reddit.
• Google (Google Ireland Ltd., Irlanda / Google LLC, USA) – API Places, Geocoding e Maps, usate per identificare e localizzare gli hotel che registra. Inviamo il nome dell'hotel, la città o l'identificativo del luogo cercato; non inviamo il Suo nome, il Suo indirizzo email né l'identificativo del Suo account, e i risultati vengono memorizzati in cache per non interrogare ripetutamente lo stesso luogo. Base del trasferimento: Data Privacy Framework UE–USA e Clausole contrattuali standard. Informativa sulla privacy di Google.
• Fornitori di dati di volo – AeroDataBox, ADSB-DB, OpenSky Network e Planespotters, interrogati con il numero di volo, la rotta e la data che inserisce, per restituire orari, stato e dettagli dell'aereo. Non viene trasmesso alcun identificativo dell'account.
• Resend (Resend, Inc., USA) – invio delle email transazionali (messaggi relativi all'account e alla sicurezza, promemoria di viaggio, avvisi sui voli). Resend riceve il Suo indirizzo email e il contenuto del messaggio al solo scopo di recapitarlo, e agisce come responsabile del trattamento in base a un accordo sul trattamento dei dati. Base del trasferimento: Clausole contrattuali standard. Informativa sulla privacy di Resend.
• Cloudflare (Cloudflare, Inc., USA) – DNS di routebook.io e ricezione delle email che Lei inoltra al Suo indirizzo personale su routebook.me (sezione 14). Cloudflare ci trasmette ogni email direttamente e non la conserva. Base del trasferimento: EU-US Data Privacy Framework e clausole contrattuali standard. Informativa privacy di Cloudflare.
• Anthropic (Anthropic, PBC, USA) – lettura delle email di prenotazione che Lei inoltra (sezione 14) per trovarvi i voli e i soggiorni in hotel. Anthropic riceve il testo e gli allegati dell'email solo a questo scopo e, secondo le sue condizioni commerciali, non li usa per addestrare i propri modelli. Base del trasferimento: clausole contrattuali standard. Informativa privacy di Anthropic.
• Flagcdn / OurAirports / OpenFlights – dati pubblici su aeroporti e bandiere caricati lato client. Non viene trasmesso alcun dato personale.

Riguardo ai Suoi dati personali, Lei ha i seguenti diritti:

• Accesso – richiedere una copia dei dati che conserviamo su di Lei
• Rettifica – correggere dati inesatti o incompleti
• Cancellazione – richiedere la cancellazione dei Suoi dati ("diritto all'oblio")
• Limitazione – limitare il trattamento in determinate circostanze
• Portabilità – ricevere i Suoi dati in un formato leggibile da dispositivo automatico (esportazione CSV disponibile con Pro)
• Opposizione – opporsi al trattamento basato sul legittimo interesse
• Revoca del consenso – revocare in qualsiasi momento un consenso prestato, senza pregiudicare il trattamento precedente

Per esercitare uno di questi diritti, ci scriva a support@routebook.io. Risponderemo entro 30 giorni.

Se ritiene che i Suoi dati siano trattati in modo illecito, ha il diritto di proporre reclamo a un'autorità di controllo:

• Svizzera: Incaricato federale della protezione dei dati e della trasparenza (IFPDT) – www.edoeb.admin.ch
• Utenti nell'UE: l'autorità di controllo del Suo paese di residenza

Adottiamo misure tecniche e organizzative adeguate per proteggere i Suoi dati, tra cui:

• Trasmissione di tutti i dati tramite cifratura HTTPS/TLS
• Hash delle password con bcrypt (gestito da Supabase Auth)
• Controlli di accesso basati sui ruoli: ogni utente può accedere solo ai propri dati
• Aggiornamenti regolari delle dipendenze e patch di sicurezza

Non utilizziamo processi decisionali automatizzati né profilazione ai sensi dell'art. 22 GDPR.

Offriamo un'estensione facoltativa per il browser Chrome che Le permette di importare la cronologia delle Sue prenotazioni alberghiere dai siti di prenotazione supportati (attualmente Booking.com; altri siti potranno essere aggiunti nel tempo) nel Suo account routebook.io. L'estensione funziona solo sulle specifiche pagine dei siti di prenotazione necessarie a leggere la cronologia dei Suoi viaggi (ad es. "Le mie prenotazioni" / pagine di conferma del viaggio) e su routebook.io stesso: non funziona su nessun altro sito web.

L'estensione:

• Legge i dettagli della prenotazione già visibili a Lei sulla pagina che sta visualizzando (nome dell'hotel, date, prezzo, numero di conferma e dettagli simili del viaggio): non accede alle credenziali del Suo account sul sito di prenotazione, ai dati di pagamento né ad alcuna pagina al di fuori della cronologia dei viaggi/delle prenotazioni.
• Invia i dettagli della prenotazione che legge direttamente al Suo account routebook.io tramite una connessione cifrata, usando un token di autenticazione che Lei genera nelle Impostazioni.
• Non vende, condivide né trasmette i Suoi dati a terzi. I dati vengono inviati esclusivamente a routebook.io.
• Memorizza localmente nel Suo browser una piccola quantità di dati (il Suo token di autenticazione e un breve elenco delle prenotazioni già importate, usato per evitare importazioni doppie): questi dati restano sul Suo dispositivo e non vengono mai trasmessi altrove.

Può revocare in qualsiasi momento l'accesso dell'estensione eliminando il suo token di autenticazione nelle Impostazioni, oppure disinstallando l'estensione da Chrome. I soggiorni in hotel importati sono soggetti agli stessi diritti descritti nella Sezione 5 (accesso, rettifica, cancellazione, ecc.) come qualsiasi altro dato del Suo account.

Gli account Pro possono importare soggiorni in hotel passati da un export di Google Timeline prodotto dall'app Google Maps sul telefono. La funzione è facoltativa, non viene mai eseguita automaticamente e tratta alcuni dei dati più sensibili con cui abbiamo a che fare: per questo è opportuno descrivere con precisione cosa accade.

• Il file di export non viene mai caricato. Viene letto e analizzato interamente nel Suo browser, sul Suo dispositivo. La cronologia grezza delle Sue posizioni non raggiunge i nostri server, né potrebbe farlo: il file è molto più grande di qualsiasi richiesta che accettiamo.
• Ci vengono inviati solo i pernottamenti che seleziona, e solo come identificativo di un luogo Google con una data di check-in e di check-out. Spostamenti, percorsi, orari, visite più brevi di una notte e qualsiasi luogo identificato come Sua abitazione o luogo di lavoro vengono scartati nel Suo browser e non vengono mai trasmessi.
• Gli identificativi dei luoghi che seleziona vengono inviati all'API Google Places per ottenere il nome e l'indirizzo dell'hotel, come descritto nella Sezione 4. I risultati vengono memorizzati in cache per limitare le ricerche ripetute.
• I soggiorni importati finiscono in una coda di verifica e diventano normali soggiorni in hotel solo dopo la Sua conferma. Ciascuno è contrassegnato come proveniente da un'importazione da Timeline, così da poterli trovare ed eliminare insieme.
• Base giuridica: art. 6(1)(b) GDPR (esecuzione del contratto), avviata da Lei ogni volta che sceglie un file.

I soggiorni importati sono soggetti agli stessi diritti di qualsiasi altro dato del Suo account (Sezione 5) e possono essere eliminati singolarmente, oppure tutti insieme in Impostazioni → Hotel.

Se un volo nel Suo account è stato cancellato o è arrivato con un ritardo tale da superare la soglia di un regime di diritti dei passeggeri aerei applicabile a quella rotta (attualmente il Regolamento UE 261/2004 e il suo equivalente britannico, l'Air Passenger Protection Regulations del Canada e le norme dell'ANAC brasiliana), potremmo mostrarLe un avviso e inviarLe un'email che La indirizza a un partner che gestisce tali richieste. La verifica dei requisiti viene eseguita sui nostri server usando i dati di volo già presenti nel Suo account; nulla dei Suoi voli viene condiviso con il partner, a meno che Lei non scelga di cliccare e presentare personalmente una richiesta.

• I link in uscita verso i partner passano per routebook.io/go/… affinché il clic possa essere contato. Memorizziamo il partner, l'orario, la posizione in cui era mostrato il link e, se applicabile, il Suo ID utente e il volo a cui si riferiva.
• Al partner viene passato un identificativo opaco del clic, affinché una richiesta andata a buon fine possa esserci attribuita ai fini della commissione. Non contiene nome, indirizzo email né dettagli del volo.
• Questa funzione non imposta cookie pubblicitari né pixel di tracciamento di terze parti.
• Base giuridica: art. 6(1)(f) GDPR (legittimo interesse a gestire e finanziare il servizio). Può opporsi in qualsiasi momento ai sensi della Sezione 5, chiudere singoli avvisi nell'app e disiscriversi dalle relative email tramite il link presente in ciascuna.
• Se cancella il Suo account, le registrazioni dei clic vengono conservate ma scollegate da Lei: l'ID utente viene impostato a null, lasciando un conteggio anonimo.

Questi avvisi sono generati automaticamente e non costituiscono consulenza legale. Se un risarcimento sia effettivamente dovuto dipende dalla causa del disservizio, che non siamo in grado di determinare.

Potremmo aggiornare di tanto in tanto la presente informativa sulla privacy. La versione in vigore è sempre disponibile su routebook.io/privacy-policy. Le modifiche sostanziali verranno comunicate via email.

Se si trova in Brasile, al trattamento dei Suoi dati personali si applica anche la Legge generale brasiliana sulla protezione dei dati (Lei nº 13.709/2018, "LGPD"). Questa sezione integra il resto della presente informativa.

• Basi giuridiche (art. 7 LGPD): esecuzione del contratto per il Suo account, i voli, i soggiorni e i pagamenti (art. 7, V); adempimento di obblighi legali per le registrazioni dei pagamenti (art. 7, II); legittimo interesse per i dati di utilizzo, l'interazione con le email, le visualizzazioni delle pagine condivise e il conteggio dei clic di affiliazione (art. 7, IX); e consenso per il pixel di marketing (art. 7, I).
• I Suoi diritti (art. 18 LGPD): conferma che trattiamo i Suoi dati; accesso; correzione di dati incompleti, inesatti o non aggiornati; anonimizzazione, blocco o cancellazione di dati non necessari o eccessivi; portabilità; cancellazione dei dati trattati con il Suo consenso; informazioni su con chi condividiamo i dati; informazioni sulla possibilità di negare il consenso e sulle relative conseguenze; e revoca del consenso. Può inoltre chiedere il riesame delle decisioni prese unicamente sulla base di un trattamento automatizzato (art. 20); noi non ne prendiamo.
• Trasferimenti internazionali (art. 33 LGPD): i Suoi dati sono conservati nell'UE e trattati dai fornitori elencati nella Sezione 4, alcuni dei quali negli USA. Questi trasferimenti si basano su clausole contrattuali standard e sulle altre garanzie lì descritte.
• Responsabile della protezione dei dati (encarregado): Simon Abplanalp, raggiungibile all'indirizzo support@routebook.io. Le richieste ricevono risposta gratuitamente, entro 15 giorni ove la LGPD lo richieda.
• Reclami: può proporre reclamo all'Autorità nazionale brasiliana per la protezione dei dati (ANPD) – www.gov.br/anpd.

Può inoltrare le conferme di prenotazione a un indirizzo personale su routebook.me, indicato nelle Impostazioni. È facoltativo e avviene solo quando Lei, o una regola di inoltro da Lei impostata, vi invia un'email.

• L'email viene ricevuta da Cloudflare e trasmessa direttamente ai nostri server. Il testo ed eventuali allegati PDF vengono inviati ad Anthropic, che ne estrae i voli e i soggiorni in hotel: date, aeroporti, numeri di volo, nomi degli hotel, prezzi e numeri di conferma.
• Non conserviamo l'email stessa. Conserviamo solo i voli e i soggiorni trovati, che restano in una lista da controllare finché Lei non li conferma o scarta, e un breve registro di ogni email ricevuta (l'ora, il dominio del mittente come swiss.com e l'esito), così che le Impostazioni possano mostrarLe cosa ne è stato. Il registro viene cancellato dopo 90 giorni, i voli mai controllati dopo 60 giorni.
• Il Suo indirizzo contiene il Suo nome utente e una parte casuale. Chi lo conosce può inviarvi email, quindi lo tenga per sé; può sostituirlo in qualsiasi momento nelle Impostazioni, e quello vecchio smette subito di funzionare.
• Dopo ogni email Le inviamo una breve risposta, tramite Resend (sezione 4), con ciò che è stato trovato.
• Base giuridica: art. 6, par. 1, lett. b GDPR (esecuzione del contratto), su Sua iniziativa ogni volta che un'email viene inviata al Suo indirizzo.