Privacy Policy

1. Introduzione

BorghiNow ("noi", "nostro", "il servizio") rispetta la tua privacy e si impegna a proteggere i tuoi dati personali. Questa privacy policy ti informa su come trattiamo i tuoi dati personali quando visiti il nostro sito web borghinow.it e utilizzi i nostri servizi.

BorghiNow è conforme al Regolamento Generale sulla Protezione dei Dati (GDPR - Regolamento UE 2016/679) e alla normativa italiana sulla privacy (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018).

2. Titolare del Trattamento

Il Titolare del Trattamento dei dati personali è:

3. Dati Raccolti e Finalità del Trattamento

3.1 Navigazione del Sito (Dati Tecnici)

Dati raccolti automaticamente:

• Indirizzo IP: Raccolto solo per prevenzione abusi (rate limiting) nell'endpoint di invio eventi. L'IP viene utilizzato temporaneamente in memoria e non viene salvato nel database.
• Log del server (Vercel): Il nostro provider di hosting (Vercel) raccoglie automaticamente nei log del server: indirizzo IP, timestamp delle richieste, user-agent (tipo di browser e sistema operativo), pagine visitate. Questi log sono gestiti da Vercel e conservati secondo le loro policy. Non accediamo a questi log se non per troubleshooting e sicurezza.
• Dati analytics (Google Analytics): Se non hai disabilitato Google Analytics, vengono raccolti: tipo di browser, sistema operativo, pagine visitate, tempo di permanenza, percorsi di navigazione. Vedi sezione 3.4 per dettagli completi.

Finalità: Garantire il funzionamento del sito, sicurezza, prevenzione di abusi, troubleshooting, miglioramento dell'esperienza utente (analytics).

Base giuridica: Legittimo interesse (Art. 6(1)(f) GDPR) per sicurezza, funzionamento del servizio e prevenzione abusi. Consenso (Art. 6(1)(a) GDPR) per Google Analytics (vedi sezione 3.4).

Conservazione: IP per rate limiting: solo in memoria durante la richiesta, non salvato. Log Vercel: secondo le policy di Vercel (tipicamente 30-90 giorni). Dati Google Analytics: massimo 26 mesi (vedi sezione 3.4).

3.2 Geolocalizzazione (Opzionale)

Dati raccolti: Coordinate geografiche (latitudine, longitudine) fornite dal tuo browser tramite l'API di geolocalizzazione HTML5.

Finalità: Mostrare eventi vicini alla tua posizione per migliorare l'esperienza di ricerca e scoperta di eventi.

Base giuridica: Consenso esplicito (Art. 6(1)(a) GDPR). Il consenso viene richiesto esplicitamente dal browser prima di accedere alla posizione.

Conservazione locale: I dati di geolocalizzazione sono memorizzati nel tuo browser (localStorage) per permetterti di utilizzare la funzionalità senza dover concedere il permesso ogni volta. I dati rimangono nel browser fino a quando non li cancelli manualmente o cancelli i dati del browser.

Invio ai server: Le coordinate vengono inviate ai nostri server solo quando richiedi esplicitamente di vedere eventi vicini. Le coordinate vengono utilizzate esclusivamente per calcolare gli eventi nelle vicinanze e non vengono mai salvate nel database - vengono utilizzate solo per quella specifica richiesta e poi scartate. Non vengono inviate automaticamente o in background.

Revoca del consenso: Puoi revocare il consenso in qualsiasi momento dalle impostazioni del browser o cancellando i dati di localStorage. Puoi anche saltare la richiesta di geolocalizzazione senza conseguenze. Se revochi il consenso, la funzionalità di eventi vicini non sarà disponibile, ma potrai comunque utilizzare tutte le altre funzionalità del servizio.

3.3 Preferenze Utente (localStorage)

Dati raccolti: Preferenze di visualizzazione memorizzate localmente nel tuo browser:

• Tema (dark/light mode): Preferenza per tema scuro o chiaro dell'interfaccia
• Eventi salvati: Lista di ID degli eventi che hai salvato per consultazione futura
• Consenso analytics: Preferenza di consenso per Google Analytics ("accepted" o "rejected")
• Preferenza geolocalizzazione: Flag che indica se hai scelto di saltare la richiesta di geolocalizzazione (con timestamp, utilizzato per non mostrare nuovamente il prompt per 24 ore)

Finalità: Personalizzare l'esperienza utente, ricordare le tue preferenze, permetterti di salvare eventi di interesse.

Base giuridica: Consenso implicito attraverso l'utilizzo del servizio (Art. 6(1)(f) GDPR - legittimo interesse per miglioramento dell'esperienza utente).

Conservazione: I dati rimangono nel tuo browser fino a quando non li cancelli manualmente. La preferenza di geolocalizzazione saltata viene controllata quando utilizzi il servizio: se è passato più di 24 ore dal momento in cui hai scelto di saltare, viene automaticamente rimossa. Non vengono mai inviati ai nostri server. Puoi cancellare questi dati in qualsiasi momento dalle impostazioni del browser.

3.4 Google Analytics (Cookie Analytics)

Dati raccolti: Statistiche di navigazione anonimizzate tramite Google Analytics 4:

• Pagine visitate, tempo di permanenza, percorsi di navigazione
• Dati demografici anonimizzati (se disponibili)
• Dispositivo e browser utilizzati (anonimizzati)
• Origine del traffico (anonimizzata)

Finalità: Analizzare l'utilizzo del sito per migliorare il servizio, comprendere le preferenze degli utenti, ottimizzare contenuti e funzionalità.

Base giuridica: Consenso esplicito (Art. 6(1)(a) GDPR). Google Analytics viene caricato solo dopo che hai accettato esplicitamente tramite il banner di consenso che appare al primo accesso al sito. Puoi rifiutare il consenso cliccando su "Rifiuta" nel banner.

Strumenti utilizzati: Google Analytics 4 (GA4) con anonimizzazione IP attiva. I dati sono anonimizzati prima dell'invio a Google.

Conservazione: I cookie di Google Analytics hanno una durata massima di 26 mesi. La tua preferenza di consenso viene salvata nel browser e rispettata in tutte le visite successive.

Revoca del consenso: Puoi revocare il consenso in qualsiasi momento:

• Cancellando il cookie di consenso dalle impostazioni del browser
• Impostando nella console del browser:
  localStorage.setItem('borghinow_analytics_consent', 'rejected')
• Utilizzando l'estensione del browserGoogle Analytics Opt-out per disabilitare Google Analytics su tutti i siti web

Privacy di Google Analytics: Google Analytics è conforme al GDPR. I dati vengono processati da Google LLC (USA) in base agli accordi di trasferimento dati UE-USA (Data Privacy Framework). Per maggiori informazioni: Privacy Policy di Google.

3.5 Invio di Eventi (Event Submissions)

Dati raccolti: Quando invii un evento tramite il modulo di pubblicazione, raccogliamo:

• Dati dell'evento: Titolo, descrizione, categoria, tag, date, orari, luogo, prezzo, URL biglietti
• Dati dell'organizzatore: Email (obbligatoria), nome, organizzazione, telefono, sito web (tutti opzionali tranne email)
• Messaggio opzionale: Eventuale messaggio per il team BorghiNow
• Dati tecnici: Indirizzo IP (per prevenzione abusi e rate limiting)

Finalità: Pubblicare l'evento sulla piattaforma BorghiNow, validare e verificare l'evento prima della pubblicazione, contattare l'organizzatore per chiarimenti se necessario.

Base giuridica: Consenso esplicito attraverso l'invio volontario del modulo (Art. 6(1)(a) GDPR) e legittimo interesse per prevenzione abusi (Art. 6(1)(f) GDPR) per l'IP.

Conservazione: I dati dell'evento vengono conservati nel database fino a quando l'evento non è passato e per un periodo massimo di 3 anni per scopi statistici e storici. I dati dell'organizzatore vengono conservati per lo stesso periodo per permettere la gestione dell'evento e eventuali comunicazioni.

Sicurezza: Implementiamo rate limiting (massimo 3 invii per IP per ora), validazione dei dati, honeypot anti-bot, e sanitizzazione degli input per prevenire abusi.

3.6 Waitlist (Pre-lancio)

Dati raccolti: Email (obbligatoria), città di interesse (opzionale), fonte di riferimento (opzionale), interessi (opzionale).

Finalità: Inviarti una notifica quando il servizio sarà disponibile nella tua zona, comprendere le aree di interesse per pianificare l'espansione del servizio.

Base giuridica: Consenso esplicito (Art. 6(1)(a) GDPR) attraverso l'iscrizione volontaria.

Conservazione: I dati vengono conservati fino al lancio del servizio nella tua zona e per un massimo di 12 mesi dopo il lancio. Puoi richiedere la cancellazione in qualsiasi momento scrivendo a info@borghinow.it.

4. Condivisione dei Dati con Terze Parti

Principio generale: Non vendiamo, affittiamo o condividiamo i tuoi dati personali con terze parti per scopi di marketing diretto.

I tuoi dati possono essere condivisi esclusivamente con i seguenti fornitori di servizi (data processors) per garantire il funzionamento del servizio:

• Google Analytics (Google LLC, USA): Per statistiche anonimizzate (solo con consenso).Privacy Policy
• Vercel (Vercel Inc., USA): Provider di hosting e CDN per il sito web.Privacy Policy
• Neon (Neon Inc., USA): Provider del database PostgreSQL.Privacy Policy
• Railway (Railway App Inc., USA): Provider di hosting per processore di eventi.Privacy Policy
• Cloudflare (Cloudflare Inc., USA): Provider di DNS e CDN per il routing del traffico.Privacy Policy

Trasferimenti internazionali: Tutti i fornitori di servizi sono conformi al GDPR e agli accordi di trasferimento dati UE-USA (EU-US Data Privacy Framework e Standard Contractual Clauses). I dati vengono trasferiti solo per le finalità strettamente necessarie al funzionamento del servizio.

Divulgazione legale: Potremmo divulgare i tuoi dati se richiesto dalla legge, da un ordine giudiziario, o per proteggere i nostri diritti, proprietà o sicurezza, o quelli di altri utenti.

5. I Tuoi Diritti (GDPR)

Ai sensi del GDPR e della normativa italiana, hai i seguenti diritti:

• Diritto di accesso (Art. 15 GDPR): Ottenere conferma del trattamento e copia dei tuoi dati personali in nostro possesso.
• Diritto di rettifica (Art. 16 GDPR): Correggere dati inesatti o incompleti.
• Diritto alla cancellazione / "Diritto all'oblio" (Art. 17 GDPR): Richiedere la cancellazione dei tuoi dati quando non sono più necessari o quando revochi il consenso.
• Diritto di limitazione (Art. 18 GDPR): Limitare il trattamento dei dati in determinate circostanze.
• Diritto alla portabilità (Art. 20 GDPR): Ricevere i tuoi dati in formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Diritto di opposizione (Art. 21 GDPR): Opporti al trattamento basato su legittimo interesse.
• Diritto di revoca del consenso (Art. 7(3) GDPR): Revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca.

Come esercitare i tuoi diritti: Per esercitare qualsiasi diritto, contattaci a:

6. Sicurezza dei Dati

Adottiamo misure tecniche e organizzative appropriate per proteggere i tuoi dati personali da accesso non autorizzato, perdita, distruzione o alterazione:

• Crittografia HTTPS: Tutte le comunicazioni sono criptate tramite SSL/TLS
• Backup regolari: Backup automatici del database per prevenire perdite di dati
• Accesso limitato: Accesso ai dati solo al personale autorizzato e necessario
• Validazione e sanitizzazione: Tutti gli input vengono validati e sanitizzati per prevenire attacchi (XSS, SQL injection, etc.)
• Rate limiting: Protezione contro abusi e attacchi DDoS
• Conformità agli standard: Seguiamo le best practices di sicurezza moderne

Nonostante le misure adottate, nessun sistema è completamente sicuro. Ti invitiamo a utilizzare password forti e a non condividere informazioni sensibili tramite il servizio.

7. Conservazione dei Dati

Conserviamo i tuoi dati personali solo per il tempo necessario a conseguire le finalità per cui sono stati raccolti, salvo obblighi di legge che richiedano conservazione più lunga:

• Geolocalizzazione: Solo nel browser (localStorage), mai sui server. Durata: fino a cancellazione manuale.
• Preferenze utente (localStorage): Solo nel browser. Durata: fino a cancellazione manuale.
• Cookie analytics: Massimo 26 mesi (Google Analytics).
• Email waitlist: Massimo 12 mesi dopo il lancio o fino a richiesta di cancellazione.
• Dati eventi inviati: Fino a 3 anni dopo la fine dell'evento per scopi statistici e storici.
• Dati organizzatori: Stesso periodo degli eventi per gestione e comunicazioni.
• Log di accesso: Massimo 90 giorni per sicurezza e troubleshooting.

Al termine del periodo di conservazione, i dati vengono cancellati in modo sicuro o anonimizzati in modo irreversibile per scopi statistici aggregati.

8. Modifiche alla Privacy Policy

Ci riserviamo il diritto di modificare questa privacy policy in qualsiasi momento per riflettere cambiamenti nelle nostre pratiche, nella tecnologia, nei requisiti legali o per altri motivi operativi. Le modifiche saranno pubblicate su questa pagina con aggiornamento della data in alto. Ti invitiamo a consultare periodicamente questa pagina per eventuali aggiornamenti. L'uso continuato del servizio dopo le modifiche costituisce accettazione della privacy policy aggiornata.

9. Contatti

Per qualsiasi domanda relativa a questa privacy policy, al trattamento dei tuoi dati personali, o per esercitare i tuoi diritti, puoi contattarci: