Informativa sulla privacy

1. Titolare del trattamento

• Titolare: Jorge Donet Alberola
• Codice fiscale (DNI): 20025823E
• Indirizzo: Avda. de la Valldigna, 9, 46750 Simat de la Valldigna, Valencia (España)
• E-mail: kidstoride@gmail.com
• Contatto privacy: privacidad@kidstoride.com

2. Dati che trattiamo

• Dati identificativi: nome e cognome, documento d'identità ove applicabile.
• Dati di contatto: indirizzo e-mail, numero di telefono.
• Dati dei minori: nome, cognome e data di nascita, forniti dal genitore o tutore legale.
• Dati di pagamento: gestiti interamente da Stripe Payments Europe Ltd. Non archiviamo mai i numeri di carta.
• Dati di utilizzo della piattaforma: corse pubblicate, prenotazioni, valutazioni.
• Dati di geolocalizzazione in tempo reale durante una corsa attiva, con il Suo consenso esplicito. Archiviati in Redis con un TTL massimo di 1 ora e mai persistiti in database relazionali.

3. Finalità e basi giuridiche

• Esecuzione del contratto: fornitura del servizio della piattaforma, registrazione, gestione delle corse, fatturazione e comunicazioni operative.
• Adempimento di obblighi legali: fatturazione, fiscalità, risposta a richieste amministrative o giudiziarie.
• Legittimo interesse: prevenzione delle frodi, sicurezza della piattaforma e miglioramento del servizio.
• Consenso: comunicazioni di marketing, geolocalizzazione in tempo reale, cookie analitici e di marketing.

4. Conservazione dei dati

Conserviamo i dati per la durata del rapporto contrattuale e, una volta terminato, per i periodi legalmente richiesti per far fronte a eventuali responsabilità (generalmente fino a sei anni a fini fiscali).

Le posizioni GPS sono conservate solo durante la corsa attiva e rimosse automaticamente dopo 1 ora.

5. Destinatari e responsabili del trattamento

Non trasmettiamo i Suoi dati a terzi, salvo obbligo di legge. Per fornire il servizio, ci avvaliamo dei seguenti responsabili del trattamento:

• Stripe Payments Europe Ltd. (gateway di pagamento, Merchant of Record).
• Cloudflare Inc. — R2 (archiviazione di file: avatar, documenti e immagini caricati dagli utenti).
• Fly.io Inc. (hosting dell'API e servizi backend).
• Vercel Inc. (hosting e CDN dell'applicazione web).
• Upstash Inc. (Redis gestito per dati effimeri di sessione e GPS, e coda di attività asincrone QStash).
• Resend Inc. (invio di e-mail transazionali).
• MapTiler AG (tessere cartografiche, geocodifica e instradamento — UE).
• Google LLC — Firebase Cloud Messaging (notifiche push), Google Analytics (analitica web) e Google OAuth (autenticazione sociale).
• Apple Inc. (autenticazione sociale — Sign in with Apple).
• Mistral AI S.A.S. (funzionalità di intelligenza artificiale — Francia, UE).
• PostHog Inc. (analitica di prodotto, server nell'UE).
• LiveKit Inc. (comunicazione vocale e video in tempo reale).

6. Trasferimenti internazionali

Alcuni responsabili del trattamento potrebbero trattare dati al di fuori dello Spazio economico europeo. In tal caso, i trasferimenti sono protetti da Clausole contrattuali standard approvate dalla Commissione europea o da altre garanzie riconosciute dal GDPR.

7. I Suoi diritti

Può esercitare i Suoi diritti di accesso, rettifica, cancellazione, opposizione, limitazione del trattamento, portabilità e revoca del consenso inviando un'e-mail a kidstoride@gmail.com o scrivendo all'indirizzo postale sopra indicato, allegando copia di un documento d'identità.

Se ritiene che il trattamento non sia conforme alla normativa, può presentare un reclamo al Garante per la protezione dei dati personali, www.garanteprivacy.it. Per i dati dei minori, il Garante ha pubblicato specifiche Linee guida in materia di trattamento di dati personali dei minori.

8. Dati dei minori

I dati dei minori di 14 anni sono forniti esclusivamente dal loro genitore o tutore legale, che si assume la responsabilità della loro esattezza e della legittimità della loro comunicazione. La piattaforma non consente l'auto-registrazione di utenti di età inferiore a 14 anni.

I dati dei minori includono altezza (`heightCm`) e peso (`weightKg`), utilizzati esclusivamente per determinare il sistema di ritenuta omologato richiesto per la sicurezza stradale del minore durante le corse. Questi dati sono trattati sulla base del consenso del tutore legale (art. 6.1.a GDPR) e, dato il loro potenziale legame con la salute, anche con consenso esplicito ai sensi dell'art. 9.2.a GDPR. Non sono utilizzati per nessun'altra finalità né condivisi con terzi.

10. Decisioni automatizzate e profilazione del rischio di frode

La piattaforma utilizza un sistema automatizzato di punteggio del rischio (`riskScore`) per prevenire le frodi e proteggere la sicurezza degli utenti. Questo sistema analizza i modelli di comportamento sulla piattaforma (cancellazioni, controversie, attività anomale) e può impostare un account in stato `creditBlocked`, impedendo nuove prenotazioni.

Questa decisione ha effetti significativi sull'utente ed è soggetta all'art. 22 del GDPR. Ha il diritto di non essere sottoposto a una decisione basata esclusivamente sul trattamento automatizzato, di ottenere l'intervento umano, di esprimere il proprio punto di vista e di contestare la decisione. Per esercitare questo diritto, ci contatti a privacidad@kidstoride.com con oggetto "Contestazione decisione automatizzata".

9. Sicurezza

Applichiamo le misure tecniche e organizzative necessarie per garantire la riservatezza, l'integrità e la disponibilità dei dati: crittografia in transito (TLS 1.2+), crittografia a riposo, controlli degli accessi, autenticazione forte basata su JWT con token di rinnovo, registrazione delle attività e revisioni periodiche.