Informativa privacy

1. Titolare del trattamento

Il titolare del trattamento è Trinova S.r.l.s., che opera con il marchio Weltweg, con sede in Via Sant’Efisio 24, 09028 Sestu (CA), partita IVA 04201390921. Per qualsiasi domanda sui tuoi dati o per esercitare i tuoi diritti scrivi a hello@weltweg.com o per posta all’indirizzo della sede.

Non abbiamo nominato un responsabile della protezione dei dati (DPO), perché la nostra attività non rientra nei casi in cui l’art. 37 del GDPR lo rende obbligatorio.

2. Da dove arrivano i dati

Quasi tutti i dati ce li dai tu: quando ci scrivi, usi il configuratore, accetti una proposta, compili l’area «Il mio viaggio» o ti iscrivi alla newsletter. Alcuni dati di altre persone ci arrivano dal referente del viaggio, che inserisce nomi e dati dei compagni di viaggio, o dal viaggiatore che indica un contatto d’emergenza: per questo chiediamo a chi li inserisce di informare le persone interessate e di mostrare loro questa pagina.

Altri dati li riceviamo da terzi solo in quanto serve al servizio: da Stripe l’esito dei pagamenti con carta, dalla nostra banca gli accrediti dei bonifici, dai fornitori del viaggio le conferme delle prenotazioni.

3. Quali dati trattiamo, perché e su quale base

Per ogni attività indichiamo i dati, lo scopo e la base giuridica, cioè la ragione che rende lecito il trattamento secondo l’art. 6 del GDPR (e l’art. 9 per i dati sulla salute).

Navigazione e sicurezza del sito

Dati: indirizzo IP, data e ora, pagina richiesta, browser e sistema operativo, eventuali errori. Le richieste passano dalla rete di distribuzione di Cloudflare, che protegge il sito dagli attacchi, e arrivano ai nostri server. Per limitare gli abusi dei moduli e degli accessi all’area clienti conserviamo solo un’impronta dell’indirizzo IP, cioè un codice da cui l’indirizzo non si ricava. Perché: far funzionare il sito, difenderlo da attacchi e accessi abusivi, individuare i guasti. Base: legittimo interesse alla sicurezza del servizio (art. 6.1.f).

Richieste di preventivo, contatti e configuratore

Dati: nome, email, telefono, lingua, messaggio e dettagli del viaggio desiderato (periodo, durata, partecipanti, budget, interessi), quando ci scrivi dal sito, usi il configuratore, ci mandi un’email, ci chiami o ci scrivi su WhatsApp. Insieme alla richiesta registriamo la pagina da cui sei arrivato e l’eventuale provenienza da una campagna (parametri come utm_source o gclid), che il browser conserva solo per la durata della visita. Perché: risponderti, preparare preventivi e proposte, capire quali canali ci portano richieste. Base: misure precontrattuali adottate su tua richiesta (art. 6.1.b); per la provenienza, legittimo interesse a valutare i nostri canali (art. 6.1.f).

Proposta, contratto, pratica e area «Il mio viaggio»

Dati: nome, cognome, email e telefono del referente; nome, cognome e fascia d’età di ogni partecipante; contenuto della proposta e del contratto; messaggi e richieste di modifica; la registrazione dell’accettazione (data e ora, nome digitato, caselle spuntate, versione delle condizioni, impronta dell’IP, impronta sha256 del documento); gli accessi all’area (data, impronta dell’IP, browser), il cookie tecnico della sessione e i gettoni monouso dei link d’accesso inviati per email. Perché: concludere ed eseguire il contratto, dimostrare come e quando è stato concluso, proteggere l’area da accessi non autorizzati. Base: esecuzione del contratto (art. 6.1.b), obblighi di legge (art. 6.1.c) e legittimo interesse alla prova del contratto e alla sicurezza (art. 6.1.f).

Dati dei viaggiatori per l’esecuzione del viaggio

Dati: tipo, numero, scadenza e nazionalità del documento di viaggio, data di nascita, nome, telefono e relazione del contatto d’emergenza, preferenze alimentari. Perché: emettere biglietti aerei, permessi dei parchi e polizze, prenotare alloggi e servizi sul posto, gestire un’emergenza. Base: esecuzione del contratto (art. 6.1.b) e, per i controlli richiesti dalle autorità di frontiera e dai vettori, obblighi di legge (art. 6.1.c).

I dati sulla salute (allergie, intolleranze, patologie, esigenze di assistenza o mobilità) sono una categoria particolare di dati. Li trattiamo solo se l’interessato dà il suo consenso esplicito nell’area, con una casella separata (art. 9.2.a), e solo per comunicarli ai fornitori che devono tenerne conto. Nel campo delle preferenze alimentari ti chiediamo di indicare solo la preferenza (per esempio vegetariana o vegana): tutto ciò che riguarda la salute va nel campo apposito, protetto dal consenso. Il consenso si può revocare in ogni momento dall’area o scrivendoci; la revoca non vale per il passato, ma può impedirci di adattare il viaggio alle tue esigenze. In una situazione d’emergenza in cui l’interessato non può dare il consenso, possiamo comunicare ai soccorritori i dati necessari per proteggerne la vita (art. 9.2.c).

Questi dati sono conservati cifrati, li consulta solo il personale che lavora alla pratica, ogni consultazione resta registrata e sono cancellati in automatico 30 giorni dopo il rientro.

Pagamenti

Dati: importo, data, rata e mezzo di pagamento; per la carta, l’esito, il tipo di carta e le ultime cifre che Stripe ci comunica; per il bonifico, nome di chi paga, banca, data dell’accredito, riferimento dell’operazione e causale. I dati completi della carta li inserisci sulla pagina di Stripe e non arrivano mai ai nostri server. Perché: incassare acconto e saldo, emettere le ricevute, gestire rimborsi e contestazioni. Base: esecuzione del contratto (art. 6.1.b) e obblighi di legge (art. 6.1.c). Stripe tratta i dati della carta anche come titolare autonomo, per i propri obblighi di legge e per prevenire le frodi, secondo la sua informativa.

Fatturazione e contabilità

Dati: nome e cognome o ragione sociale, codice fiscale, partita IVA, indirizzo, codice destinatario o PEC, importi e date dei pagamenti, che ci indichi all’accettazione della proposta. Perché: emettere la fattura elettronica e tenere la contabilità. Base: obblighi di legge fiscali e contabili (art. 6.1.c).

Assistenza, comunicazioni di servizio e reclami

Dati: i contenuti delle comunicazioni con noi per email, telefono, WhatsApp o dall’area, le chiamate al numero d’assistenza 24 ore, le segnalazioni durante il viaggio e i reclami. Ti mandiamo anche comunicazioni automatiche legate al viaggio: conferme, documenti, promemoria dei pagamenti, avvisi prima della partenza e, dopo il rientro, un messaggio di bentornato con l’invito facoltativo a lasciare una recensione. Perché: assisterti prima, durante e dopo il viaggio e gestire i reclami. Base: esecuzione del contratto (art. 6.1.b), obblighi di legge (art. 6.1.c) e, per l’invito alla recensione, legittimo interesse (art. 6.1.f).

Newsletter e comunicazioni ai clienti

Dati: email, lingua, pagina da cui ti sei iscritto, versione del testo del consenso, data e impronta dell’IP dell’iscrizione e della conferma. Ti iscrivi solo spuntando una casella e confermando dal link che ti mandiamo per email (doppio consenso); ogni messaggio ha un link per cancellarti con un clic. Perché: mandarti idee di viaggio, novità e offerte. Base: consenso (art. 6.1.a).

Se hai già viaggiato con noi, possiamo scriverti all’indirizzo che ci hai dato per proporti viaggi simili a quello acquistato, anche senza iscrizione alla newsletter (art. 130, comma 4, del Codice privacy). Puoi opporti in ogni momento, gratuitamente, con il link presente in ogni messaggio o scrivendoci. Base: legittimo interesse (art. 6.1.f).

App Weltweg

Se colleghi il tuo viaggio all’app con codice pratica e cognome, l’app riceve l’itinerario e i contatti utili e conserva sul telefono un gettone d’accesso, che scade 183 giorni dopo il rientro; sul nostro server ne resta solo un’impronta, con la data dell’ultimo uso. Tutto il resto, come gli avvistamenti, i timbri o la valigia, resta sul telefono. Base: esecuzione del contratto (art. 6.1.b). I dettagli sono nell’informativa dell’app.

Statistiche e misurazione

Le statistiche di base del sito le raccogliamo con Umami, installato sul nostro server: conta visite, pagine viste e azioni come l’invio di un modulo in forma aggregata, senza cookie e senza identificarti, e rispetta l’impostazione «Do Not Track» del browser. Base: legittimo interesse a capire come viene usato il sito (art. 6.1.f).

Solo se li accetti nel banner dei cookie attiviamo il tag di Google per Google Analytics (statistiche) e per la misurazione delle campagne Google Ads (marketing). Base: consenso (art. 6.1.a), che puoi revocare in ogni momento da «Gestisci cookie». Registriamo la tua scelta con un codice casuale, la data, la pagina e un’impronta dell’IP, per poterla dimostrare (art. 7.1 del GDPR).

Tutela dei nostri diritti

Possiamo usare i dati necessari per far valere o difendere un nostro diritto, per esempio in caso di contestazione di un pagamento con carta, di reclamo o di causa. Base: legittimo interesse (art. 6.1.f) e, per i dati sulla salute, l’art. 9.2.f.

4. Sei obbligato a darci i dati?

No, ma senza alcuni dati non possiamo fare quello che ci chiedi. Senza un contatto non possiamo risponderti; senza i dati dei viaggiatori e del documento non possiamo emettere biglietti, permessi e polizze, e quindi eseguire il contratto; senza i dati per la fattura non possiamo adempiere agli obblighi fiscali. I dati sulla salute e l’iscrizione alla newsletter sono del tutto facoltativi.

5. Con chi condividiamo i dati

All’interno di Trinova i dati li trattano solo le persone autorizzate e istruite, ciascuna per quanto serve al proprio lavoro. Fuori dalla società li comunichiamo solo a:

• fornitori del viaggio: corrispondenti locali, alloggi, guide, compagnie aeree, consolidatori e sistemi di prenotazione dei voli, autorità dei parchi, che ricevono i dati necessari per i loro servizi e li trattano come titolari autonomi;
• la compagnia assicurativa della polizza compresa nel viaggio, indicata nella proposta, titolare autonomo per la gestione della polizza e dei sinistri;
• fornitori che trattano dati per nostro conto, nominati responsabili del trattamento con un contratto (art. 28 del GDPR): Hetzner Online GmbH (server in Germania che ospitano sito, area clienti, gestionale, posta e statistiche); Cloudflare, Inc. (rete di distribuzione e protezione del sito); un fornitore europeo per l'inoltro delle email (Francia), il fornitore del servizio di invio delle email; lo studio professionale che tiene la nostra contabilità, per le fatture;
• Stripe Payments Europe Ltd (Irlanda), per i pagamenti con carta, in parte come responsabile e in parte come titolare autonomo;
• Google Ireland Ltd, solo se accetti i cookie statistici o di marketing, e quando apri la mappa di una scheda viaggio, che si carica solo dopo il tuo clic;
• WhatsApp Ireland Ltd (gruppo Meta), se ci scrivi su WhatsApp: in quel caso valgono anche le condizioni e l’informativa di WhatsApp;
• la nostra banca, per i bonifici e i rimborsi;
• autorità e soggetti pubblici, quando una legge lo impone, e i nostri consulenti legali in caso di contestazioni.

Non vendiamo né cediamo i tuoi dati a nessuno per fini di marketing.

6. Trasferimenti fuori dall’Unione europea

Un viaggio in Africa si può organizzare solo comunicando i dati dei partecipanti a fornitori che si trovano fuori dallo Spazio economico europeo, per esempio in Tanzania, Kenya, Madagascar o negli altri paesi del tuo itinerario, e alle compagnie aeree che ti trasportano. Per molti di questi paesi non esiste una decisione di adeguatezza della Commissione europea: il trasferimento avviene perché è necessario per eseguire il contratto che hai chiesto (art. 49.1.b del GDPR) e riguarda solo i dati indispensabili per ciascun servizio.

Cloudflare, Stripe, Google e Meta possono trattare dati anche negli Stati Uniti o in altri paesi. In questi casi il trasferimento si basa sulla decisione di adeguatezza della Commissione europea per le società aderenti al Data Privacy Framework UE-USA (art. 45) o sulle clausole contrattuali standard approvate dalla Commissione (art. 46). Puoi chiederci informazioni su queste garanzie scrivendo a hello@weltweg.com.

7. Per quanto tempo conserviamo i dati

• richieste e preventivi che non diventano un viaggio: 24 mesi dall’ultimo contatto;
• pratiche, contratti, registrazione dell’accettazione, pagamenti, fatture e documenti contabili: 10 anni dalla conclusione della pratica, come prevedono le norme civili e fiscali (artt. 2220 e 2946 del Codice civile);
• documento di viaggio, data di nascita, contatto d’emergenza, preferenze alimentari e dati sulla salute: fino a 30 giorni dopo il rientro, poi cancellazione automatica;
• link d’accesso all’area: 7 giorni o fino al primo uso; sessione dell’area: 30 giorni; gettone dell’app: 183 giorni dopo il rientro;
• newsletter: fino alla disiscrizione; la prova del consenso e della disiscrizione per 24 mesi dopo;
• registro delle scelte sui cookie: 24 mesi, per dimostrare il consenso;
• registri tecnici e di sicurezza dei server: per il tempo necessario alla sicurezza e al buon funzionamento del servizio, di norma non oltre 30 giorni, salvo che servano per accertare un abuso;
• copie di sicurezza: sono conservate per un periodo limitato e sovrascritte a rotazione; i dati cancellati scompaiono anche dalle copie alla fine del ciclo.

Se c’è una contestazione in corso conserviamo i dati necessari fino alla sua conclusione. Alla scadenza i dati vengono cancellati o resi anonimi.

8. Come proteggiamo i dati

Sito, area clienti, gestionale, posta e statistiche girano su server che gestiamo direttamente, presso Hetzner in Germania. Tutte le connessioni sono cifrate. I dati più delicati dei viaggiatori (documento, contatto d’emergenza, dati sulla salute) sono conservati cifrati nel database, con una chiave custodita separatamente, e ogni consultazione da parte del personale resta registrata. Il gestionale interno è accessibile solo con credenziali personali e un secondo fattore di autenticazione; gli indirizzi IP non sono mai salvati in chiaro.

All’area «Il mio viaggio» si entra senza password, con codice pratica e cognome o con un link personale monouso: per questo limitiamo i tentativi sbagliati e ti chiediamo di non condividere codice e link con persone estranee al viaggio. Facciamo copie di sicurezza ogni notte e verifichiamo periodicamente di poterle ripristinare. Non ti chiederemo mai i dati della carta per email, telefono o WhatsApp, e non cambiamo mai l’IBAN con un semplice messaggio.

Se dovesse verificarsi una violazione dei dati che presenta rischi per te, la notifichiamo al Garante entro 72 ore e, quando il rischio è elevato, ti avvisiamo direttamente (artt. 33 e 34 del GDPR).

9. Decisioni automatizzate

Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o che ti riguardino in modo significativo, e non facciamo profilazione (art. 22 del GDPR). I calcoli automatici del sistema, come le scadenze delle rate o i promemoria, applicano solo le regole del contratto e sono sempre verificabili da una persona del nostro team.

10. I tuoi diritti

In ogni momento puoi chiederci gratuitamente di:

• sapere se trattiamo dati che ti riguardano e riceverne copia (accesso, art. 15);
• correggerli o completarli (rettifica, art. 16); molti dati puoi correggerli da solo nell’area;
• cancellarli, quando non servono più o non c’è un’altra base che ne giustifichi la conservazione (art. 17);
• limitarne l’uso mentre verifichiamo una tua richiesta (art. 18);
• riceverli in un formato strutturato e leggibile da un computer, o farli trasmettere a un altro titolare, per i dati che ci hai dato in base a contratto o consenso (portabilità, art. 20);
• opporti ai trattamenti basati sul legittimo interesse, per motivi legati alla tua situazione, e in ogni caso alle comunicazioni commerciali (opposizione, art. 21);
• revocare un consenso già dato, senza effetti su quanto fatto prima della revoca (art. 7.3).

Scrivi a hello@weltweg.com: ti rispondiamo entro un mese, prorogabile di altri due nei casi complessi, avvisandoti. Per proteggere i tuoi dati possiamo chiederti di confermare la tua identità prima di rispondere.

Se ritieni che il trattamento violi la normativa puoi proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, o all’autorità di controllo del paese dell’Unione in cui risiedi o lavori, oppure rivolgerti al giudice.

11. Minori

I dati dei minori che viaggiano con noi ce li forniscono i genitori o chi ne esercita la responsabilità, che danno anche l’eventuale consenso per i loro dati sulla salute. Il sito, la newsletter e l’app non sono pensati per i minori di 14 anni, che non devono inviarci dati da soli.

12. Cookie e aggiornamenti di questa informativa

Quali cookie e strumenti simili usiamo, e come cambiare le tue scelte, è spiegato nella cookie policy; puoi aprire le preferenze in ogni momento da «Gestisci cookie», in fondo a ogni pagina.

Aggiorniamo questa informativa quando cambiano i servizi, i fornitori o le norme. La data dell’ultimo aggiornamento è indicata in fondo alla pagina; se le modifiche sono importanti e riguardano un viaggio in corso, te lo comunichiamo anche per email.