Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento è Serghei Culesov, impresa individuale con nome commerciale Track Cruises, Via Angelo Scarsellini 32, 37123 Verona (VR), Italia, Partita IVA 01696350550, REA VR-469816. Puoi scriverci a support@track.cruises. Tutti i dati del titolare sono nelle note legali.

Siamo un’impresa individuale e non abbiamo nominato un responsabile della protezione dei dati (DPO): il titolare gestisce personalmente ogni richiesta relativa alla privacy.

2. Quali dati raccogliamo

2.1 Dati che ci fornisci

• Dati dell’account: indirizzo e-mail, password (conservata solo in forma di hash dal nostro fornitore di autenticazione) e, se accedi con Google o Facebook, il nome, l’indirizzo e-mail e l’immagine del profilo che questi servizi condividono con noi.
• Preferenze: crociere preferite, avvisi di prezzo e prezzi obiettivo, impostazioni di mercato e lingua.
• Messaggi: ciò che ci scrivi via e-mail o tramite i moduli di feedback.
• Dati dell’abbonamento: piano, stato dei pagamenti e il nome, l’indirizzo e-mail e il Paese che indichi al checkout. I dati della carta e di pagamento vanno direttamente a FastSpring: noi non li vediamo mai.
• Newsletter: il tuo indirizzo e-mail e le newsletter che hai scelto.

2.2 Dati raccolti automaticamente

• Dati tecnici: indirizzo IP, browser, sistema operativo, tipo di dispositivo e pagine richieste, registrati dal nostro fornitore di hosting per far funzionare e proteggere il sito.
• Dati di utilizzo: pagine visitate, ricerche e clic, raccolti dagli strumenti di analisi solo se accetti i cookie (sezione 6).
• Segnalazioni di errore: quando qualcosa non funziona, un rapporto tecnico con la pagina, il browser e i dettagli dell’errore.

2.3 Clienti API

• Se usi la nostra Cruise Pricing API, registriamo ogni richiesta (chiave API, endpoint, parametri, ora e indirizzo IP) e, per i clienti RapidAPI, il nome utente RapidAPI che RapidAPI ci trasmette.

3. Perché usiamo i dati e su quale base giuridica

• Per fornire il servizio: account, preferiti, avvisi di prezzo e le e-mail che hai richiesto. Base giuridica: esecuzione di un contratto (art. 6, par. 1, lett. b GDPR).
• Per gestire gli abbonamenti e tenere la contabilità. Base giuridica: contratto e obblighi fiscali previsti dalla legge italiana (art. 6, par. 1, lett. b e c).
• Per mantenere il servizio sicuro e funzionante: prevenire abusi e frodi, limitare il traffico dell’API, correggere errori. Base giuridica: il nostro legittimo interesse a un servizio sicuro e funzionante (art. 6, par. 1, lett. f).
• Per misurare e migliorare il sito e la nostra pubblicità con Google Analytics, Microsoft Clarity e il Meta Pixel. Base giuridica: il tuo consenso (art. 6, par. 1, lett. a), che puoi revocare in qualsiasi momento.
• Per inviarti newsletter. Base giuridica: il tuo consenso (art. 6, par. 1, lett. a); ogni newsletter contiene un link per disiscriverti.
• Per rispondere ai tuoi messaggi. Base giuridica: contratto o nostro legittimo interesse a risponderti (art. 6, par. 1, lett. b o f).

Per creare un account devi fornirci un indirizzo e-mail; tutto il resto è facoltativo. Non prendiamo decisioni su di te basate unicamente su trattamenti automatizzati e non vendiamo i tuoi dati personali.

4. A chi comunichiamo i dati

Ci avvaliamo dei fornitori elencati qui sotto. I responsabili del trattamento agiscono solo su nostre istruzioni in base a un accordo sul trattamento dei dati; gli altri sono titolari autonomi con una propria informativa privacy.

• Supabase (Supabase Inc., USA): database e accesso. Responsabile del trattamento.
• Vercel (Vercel Inc., USA): hosting del sito e statistiche di traffico senza cookie (Vercel Web Analytics, Speed Insights). Responsabile del trattamento.
• Brevo (Sendinblue SAS, Francia): invio di avvisi di prezzo, e-mail dell’account e newsletter. Responsabile del trattamento.
• Sentry (Functional Software Inc., USA): monitoraggio degli errori. Responsabile del trattamento.
• Google (Google Ireland Ltd / Google LLC): Google Analytics, solo con il tuo consenso, e accesso con Google se lo usi. Per l’accesso Google è titolare autonomo.
• Microsoft (Microsoft Ireland Operations Ltd): mappe di calore e registrazioni delle sessioni di Clarity, solo con il tuo consenso.
• Meta (Meta Platforms Ireland Ltd): il Meta Pixel per misurare la pubblicità, solo con il tuo consenso, e l’accesso con Facebook se lo usi. Per i dati raccolti tramite il Pixel Meta è contitolare insieme a noi; per l’uso successivo e per l’accesso è titolare autonomo.
• FastSpring (Bright Market LLC, USA): vende i nostri abbonamenti come rivenditore e merchant of record e gestisce i pagamenti. Titolare autonomo: vedi l’informativa privacy di FastSpring.
• RapidAPI (USA): marketplace tramite cui alcuni clienti acquistano l’accesso all’API. Titolare autonomo.
• CJ Affiliate (USA): gestisce i banner pubblicitari di CruiseDirect presenti su alcune pagine e registra i clic su di essi. Titolare autonomo.
• Il nostro commercialista: riceve fatture e registrazioni dei pagamenti per gli adempimenti fiscali.

Possiamo comunicare dati alle autorità pubbliche quando la legge lo richiede. Quando segui un link verso una compagnia di crociera lasci il nostro sito: non trasmettiamo i tuoi dati personali alle compagnie.

5. Trasferimenti fuori dall’UE

Alcuni fornitori hanno sede negli Stati Uniti. I trasferimenti si basano sulla decisione di adeguatezza sull’EU–US Data Privacy Framework del 10 luglio 2023, se il fornitore è certificato, e altrimenti sulle clausole contrattuali standard della Commissione europea (art. 46 GDPR).

6. Cookie e tecnologie simili

Usiamo cookie diversi da quelli strettamente necessari solo se clicchi “Accetta” nel banner dei cookie. Se rifiuti, non viene impostato nient’altro. Puoi cambiare scelta in qualsiasi momento da “Impostazioni cookie”, nel footer di ogni pagina.

6.1 Strettamente necessari (nessun consenso richiesto)

• Cookie di sessione impostati da Supabase per mantenerti connesso.
• NEXT_LOCALE: ricorda la lingua che hai scelto.
• track-cruises-cookie-consent: ricorda la tua scelta sui cookie per 12 mesi.

6.2 Analisi (solo con consenso)

• Google Analytics 4 (_ga, _ga_*; fino a 2 anni): conta le visite e mostra come viene usato il sito. Se hai effettuato l’accesso, trasmettiamo l’ID interno del tuo account (mai il tuo indirizzo e-mail), così le visite da dispositivi diversi vengono contate una sola volta.
• Microsoft Clarity (_clck fino a 1 anno, _clsk 1 giorno): mappe di calore e registrazioni delle sessioni che mostrano come vengono usate le pagine.

6.3 Pubblicità (solo con consenso)

• Meta Pixel (_fbp; 3 mesi): misura le visite che arrivano dalle nostre inserzioni su Facebook e Instagram.

Vercel Web Analytics conta le pagine viste senza cookie né identificativi persistenti. I banner pubblicitari di CruiseDirect sono forniti tramite CJ Affiliate: quando ne clicchi uno, CJ registra il clic per attribuire l’eventuale prenotazione.

7. Per quanto tempo conserviamo i dati

• Account, preferiti e avvisi: finché l’account esiste; li cancelliamo entro 30 giorni dalla tua richiesta di eliminazione dell’account.
• Newsletter: finché non ti disiscrivi.
• Fatture e scritture contabili: 10 anni, come previsto dalla legge italiana (art. 2220 c.c.).
• E-mail di assistenza: fino a 3 anni dall’ultimo messaggio.
• Segnalazioni di errore: fino a 90 giorni.
• Dati di Google Analytics: fino a 14 mesi.
• Log delle richieste API: per il tempo necessario a fatturazione, sicurezza e prevenzione degli abusi.

8. Sicurezza

I dati viaggiano su connessioni cifrate (HTTPS). Le password sono conservate solo in forma di hash dal nostro fornitore di autenticazione. L’accesso ai sistemi di produzione è riservato al titolare e i nostri fornitori usano infrastrutture certificate. Se una violazione dei dati può mettere a rischio i tuoi diritti, la notificheremo al Garante entro 72 ore e ti informeremo senza ingiustificato ritardo, come previsto dagli artt. 33 e 34 GDPR.

9. I tuoi diritti

In base agli artt. 15–22 GDPR puoi:

• accedere ai dati personali che conserviamo su di te e riceverne una copia;
• far correggere i dati inesatti;
• far cancellare i tuoi dati, incluso l’intero account;
• limitare il modo in cui usiamo i tuoi dati;
• ricevere i dati che ci hai fornito in un formato leggibile da dispositivo automatico (portabilità);
• opporti ai trattamenti basati sul nostro legittimo interesse;
• revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente.

Scrivi a support@track.cruises, possibilmente dall’indirizzo e-mail collegato al tuo account. Rispondiamo entro un mese; per richieste complesse il termine può essere prorogato di altri due mesi e in tal caso te lo comunichiamo. Avvisi e preferiti puoi gestirli da solo nella tua dashboard.

Hai anche il diritto di proporre reclamo a un’autorità di controllo: in Italia il Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma), oppure l’autorità del Paese UE in cui vivi o lavori.

10. Minori

Track Cruises non è destinato a persone di età inferiore a 16 anni e non raccogliamo consapevolmente i loro dati. Se ritieni che un minore ci abbia fornito dati personali, scrivici e li cancelleremo.

11. Le e-mail che inviamo

Gli avvisi di prezzo e le e-mail relative all’account e alla fatturazione fanno parte del servizio che hai richiesto. Newsletter ed e-mail promozionali vengono inviate solo se ti sei iscritto; ognuna contiene un link per disiscriverti, e puoi anche semplicemente scriverci.

12. Link ad altri siti

Quando segui un link verso una compagnia di crociera o un altro sito, si applica l’informativa privacy di quel sito. Non controlliamo i dati che quei siti raccolgono.

13. Modifiche a questa informativa

Aggiorniamo questa informativa quando cambiano i nostri servizi o la legge. La data in alto indica la versione in vigore. Se una modifica incide in modo rilevante su come usiamo i tuoi dati, te lo comunicheremo via e-mail o con un avviso sul sito prima che entri in vigore.