Informativa Privacy di Clubbo4Business

In breve

• Clubbo4Business è riservata a persone maggiorenni autorizzate ad agire per il soggetto professionale rappresentato.
• Trattiamo dati di account, ruolo e verifica, dati del locale e degli eventi, operazioni sulle prenotazioni, assistenza, sicurezza e, in futuro, informazioni tecniche sugli abbonamenti in-store.
• Non riceviamo il numero della carta usata nello store: Apple o Google gestiscono il pagamento.
• Il collegamento a Google Business Profile è facoltativo, usa soltanto gli scope necessari e può essere scollegato.
• Analytics e diagnostica non essenziali si attivano soltanto con una scelta positiva e revocabile.
• Alcuni contenuti aziendali possono restare al Business dopo la cancellazione del tuo account personale, senza collegamento alla tua identità.
• Non vendiamo dati e non facciamo pubblicità comportamentale.
• Per domande privacy: support@clubboapp.com o PEC clubboapp@legalmail.it.

1. Titolare del trattamento

CLUBBO S.R.L.
Via Vincenzo Bellini 23, 20900 Monza (MB), Italia
Codice fiscale e partita IVA 14823320966 — REA MB-2809389
PEC: clubboapp@legalmail.it
Email privacy e supporto: support@clubboapp.com
Telefono: +39 346 088 1478

Segnalazioni relative a contenuti, account, locali o eventi: report@clubboapp.com oppure il modulo su clubboapp.com/supporto/segnalazioni.

2. Responsabile della protezione dei dati (DPO)

CLUBBO S.R.L. non ha designato un Responsabile della protezione dei dati, perché sulla base dei trattamenti svolti non ricorrono al momento i presupposti obbligatori dell’art. 37 GDPR. La valutazione viene riesaminata periodicamente. Per ogni questione privacy puoi usare i contatti del titolare.

TODO pre-lancio — Formalizzare per iscritto la valutazione sulla non obbligatorietà del DPO e archiviarla.

3. Ruoli di Clubbo e del Business

CLUBBO S.R.L. agisce come titolare autonomo per la gestione dell’account Clubbo4Business, la verifica di ruoli e associazioni, il funzionamento e la sicurezza della Piattaforma, la moderazione, l’assistenza, la gestione contrattuale e degli abbonamenti, le proprie comunicazioni operative e gli analytics facoltativi.

Il locale, organizzatore o altro professionista rappresentato agisce come titolare autonomo per i dati dei propri clienti, personale e collaboratori e per l’erogazione dell’esperienza. È responsabile, fra l’altro, di:

• avere una base giuridica per inserire e usare dati in Clubbo;
• fornire le proprie informative a clienti e personale;
• autorizzare soltanto persone che necessitano dell’accesso;
• trattare le prenotazioni secondo legge, inclusi eventuali dati inseriti nelle note;
• rispondere alle richieste degli interessati per i trattamenti di propria competenza.

Per le operazioni che Clubbo esegue esclusivamente su istruzioni documentate del Business, ad esempio la conservazione e gestione tecnica dei dati di prenotazione per conto del locale, Clubbo opera come responsabile del trattamento ai sensi dell’art. 28 GDPR, secondo l’Addendum sul trattamento dei dati (DPA). L’esatta ripartizione dipende dalla funzione utilizzata e dai fatti, non dalla sola etichetta contrattuale.

Se sei un dipendente o collaboratore invitato da un Business, il Business è titolare del trattamento dei tuoi dati per la gestione del rapporto di lavoro o collaborazione; Clubbo tratta i tuoi dati di account per le finalità di questa informativa.

4. Dati che trattiamo

4.1 Account, identità e autorità

Possiamo trattare:

• nome, cognome, email e numero di telefono;
• identificativo, data di creazione, stato e tipo dell’account;
• dichiarazione di maggiore età e di autorità ad agire per il Business, con data e versione dei Termini accettati e dell’approvazione specifica delle clausole;
• organizzazione rappresentata, ruolo (ad esempio proprietario, amministratore, creatore esterno o staff), permessi e cronologia essenziale delle variazioni;
• inviti, accettazioni, richieste e prove necessarie a verificare l’associazione al locale;
• passaggi di onboarding, verifiche e dati tecnici di autenticazione, inclusi codici monouso (OTP);
• dati forniti da Google o Apple se usi un login esterno.

4.2 Dati del locale e dell’organizzazione

Possiamo trattare denominazione, insegna, partita IVA, indirizzo, città, coordinate, categorie, descrizione, orari, periodi di chiusura, contatti pubblici, email, telefono, sito, menu, social, funzioni di prenotazione, tag e identificativi esterni del luogo.

Molte informazioni riguardano un’impresa e non una persona. Diventano dati personali quando permettono di identificare una persona fisica, ad esempio una ditta individuale, un referente o un numero personale.

Per registrare o verificare una nuova attività possiamo trattare dati e documenti di prova, stato della richiesta e motivo della decisione. Non inviare documenti completi se basta una parte oscurata.

4.3 Schede create da fonti pubbliche e servizi Google

Per costruire il catalogo e per cercare e precompilare una scheda possiamo trattare query di ricerca, area e coordinate, place ID, tipi, foto, rating, numero di recensioni, risultati e dati pubblicamente accessibili provenienti da Google Maps tramite SerpApi e da servizi di geocodifica. Alcuni risultati grezzi possono essere conservati temporaneamente per verifica, deduplicazione e audit.

Una scheda può quindi essere visibile nell’app consumer prima che il Business la rivendichi. Se sei titolare o rappresentante del locale, puoi rivendicarla da Clubbo4Business, chiederne la correzione oppure opporti alla pubblicazione scrivendo a support@clubboapp.com: valuteremo la richiesta ai sensi dell’art. 21 GDPR.

Se colleghi Google Business Profile, trattiamo identificativo dell’account Google, email, scope autorizzati, risorse collegate, stato e un refresh token cifrato. Per verificare che tu abbia accesso alla scheda del locale trattiamo anche gli account Google Business Profile a cui hai accesso (nome e tipo), la scheda del locale trovata, il suo stato di verifica e la data dell’ultimo controllo, che ripetiamo periodicamente finché l’associazione è attiva. In caso di assistenza il supporto può consultare anche il tuo ruolo sulla scheda. Se il supporto trasferisce la gestione di un locale, registriamo il cambio (locale, utenti coinvolti, operatore del supporto, metodo di verifica precedente, esito per l’owner precedente, gestione dell’abbonamento, nota e data) per finalità di sicurezza e audit. L’uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API Google rispettano la Google API Services User Data Policy, inclusi i requisiti di Limited Use: usiamo questi dati solo per le funzioni che hai richiesto (verifica e sincronizzazione della scheda), non li vendiamo, non li usiamo per pubblicità e non li usiamo per addestrare modelli di intelligenza artificiale. Puoi scollegare l’integrazione da Impostazioni > Account Google Business; revochiamo ed eliminiamo il token quando non serve più.

4.4 Eventi, contenuti e attività

Trattiamo dati dell’autore e del ruolo che effettua l’operazione, nome e descrizione dell’evento, luogo, data e ora, indirizzo, contatti, link esterni e social, immagini, categoria e tag, capienza, indicazione di prezzo, configurazione di QR e prenotazioni, stato di pubblicazione e cronologia necessaria all’audit.

Quando carichi immagini o altri contenuti devi avere i diritti e le autorizzazioni necessari, incluse quelle delle persone riconoscibili. Evita di pubblicare dati personali non necessari.

Per selezionare immagini o scansionare QR, l’app chiede accesso a fotocamera e libreria foto. Il permesso è gestito dal sistema operativo e può essere revocato; trattiamo solo il file scelto e i dati tecnici necessari al caricamento.

TODO pre-lancio — Rimuovere i metadati EXIF (inclusa la posizione GPS) dalle immagini caricate prima dell’archiviazione su R2; poi aggiungere qui “rimuoviamo automaticamente i metadati di posizione dalle immagini”.

Le mappe sono fornite tramite Mapbox; l’SDK può ricevere IP, identificativi tecnici, dati d’uso e posizione de-identificata. Ricerche e coordinate possono inoltre essere inviate a Geoapify o SerpApi per geocodifica e import.

TODO pre-lancio — Implementare l’opt-out dalla telemetria Mapbox anche nell’app Business e indicare dove si trova.

4.5 Prenotazioni e operazioni del personale

Gli utenti autorizzati del Business possono accedere ai dati necessari a gestire una prenotazione consumer: nome della prenotazione, locale o evento, data e ora, numero di partecipanti, note, stato, eventuale motivo di rifiuto, QR e informazione di utilizzo. Clubbo registra anche quale account Business ha eseguito le operazioni rilevanti, per sicurezza e responsabilità.

Il Business non deve usare questi dati per marketing proprio senza un’idonea base giuridica e la necessaria informativa, né esportarli, copiarli o condividerli oltre quanto necessario a gestire l’esperienza e gli obblighi applicabili.

4.6 Abbonamenti, prove e store

Quando gli abbonamenti in-store saranno attivi, potremo trattare:

• identificativo cliente pseudonimo e account Clubbo collegato;
• piattaforma (App Store o Google Play), prodotto, piano ed entitlement;
• stato di prova o abbonamento, date di attivazione, rinnovo, scadenza, cancellazione, periodo di tolleranza, revoca o rimborso;
• identificativi di transazione e dati dei webhook necessari a verificare il diritto di accesso.

Apple o Google gestiscono metodo di pagamento, addebito e ricevuta secondo le proprie informative, come titolari autonomi. Clubbo non riceve il numero della carta. RevenueCat, quando integrato, tratta per nostro conto i dati tecnici necessari a sincronizzare acquisti ed entitlement.

Durante l’accesso promozionale gratuito iniziale, attivato senza acquisto, conserviamo soltanto i dati necessari ad assegnare e far scadere il diritto gratuito.

4.7 Assistenza, feedback, segnalazioni e moderazione

Trattiamo recapiti, messaggio, account, locale, evento, foto o prenotazione interessati, categoria e motivo, una copia delle informazioni visibili al momento della segnalazione, comunicazioni successive, decisione motivata e riesame. Possiamo collegare la pratica a log e ruoli per verificarla. Cerchiamo di non rivelare l’identità del segnalante al soggetto segnalato, salvo necessità o obbligo di legge.

Le segnalazioni inviate dall’app Clubbo4Business (per esempio una prenotazione con contenuto abusivo o un evento proposto da un altro organizzatore) sono collegate al tuo account e al locale selezionato. Quando blocchi un account per il tuo locale conserviamo il collegamento tra quell’account, il locale, chi ha disposto il blocco e la prenotazione di riferimento finché il blocco resta attivo; il blocco impedisce nuove prenotazioni e non ti dà accesso a dati aggiuntivi sulla persona.

Quando adottiamo una misura su un tuo contenuto ti comunichiamo, anche nell’app, contenuto interessato, misura, fatti e ragioni, base contrattuale o giuridica, durata, uso di eventuali strumenti automatici e come chiedere il riesame (art. 17 del Regolamento (UE) 2022/2065 e art. 4 del Regolamento (UE) 2019/1150).

4.8 Notifiche, dati tecnici e sicurezza

Possiamo trattare token push, preferenze, contenuto ed esito delle notifiche; IP, data e ora, versione di app e sistema operativo, dispositivo, identificativi di installazione o sessione, richieste API, errori, tentativi di accesso, token revocati, operazioni amministrative e segnali di abuso.

4.9 Analytics e diagnostica facoltative

Solo con scelta positiva, modificabile in Impostazioni > Privacy e analytics, usiamo PostHog (Cloud UE) per eventi, schermate e proprietà tecniche minimizzate, con identificativo pseudonimo dell’account, e Firebase Crashlytics per crash e diagnostica tecnica. Oggi un’unica scelta attiva o disattiva entrambi. Non li usiamo per vendere dati o per pubblicità comportamentale e la registrazione delle sessioni non è attiva in produzione. Puoi revocare la scelta senza perdere le funzioni essenziali.

4.10 Informazioni memorizzate sul dispositivo

L’app memorizza sul dispositivo token di sessione in un archivio protetto, preferenze, stato delle scelte privacy e cache tecniche, strettamente necessari al servizio (art. 122 Codice privacy). Gli identificativi di PostHog e Crashlytics sono usati solo dopo la scelta positiva.

5. Origine dei dati

I dati provengono da te; dal Business e dagli amministratori che ti invitano o gestiscono ruoli; dai consumer che effettuano prenotazioni; dal dispositivo dopo i permessi; dall’uso e dai sistemi di sicurezza; da Google o Apple per login o integrazioni; da fonti pubblicamente accessibili e fornitori di informazioni sui luoghi (Google Maps tramite SerpApi, Geoapify); dagli store e in futuro da RevenueCat; da soggetti coinvolti in una segnalazione.

Se inserisci dati di altre persone, dichiari di essere autorizzato e di avere fornito loro le informazioni necessarie.

6. Finalità e basi giuridiche

Quando utilizziamo il legittimo interesse effettuiamo un bilanciamento con diritti e aspettative delle persone. È possibile opporsi ai sensi dell’art. 21 GDPR.

7. Comunicazioni commerciali

Al lancio Clubbo non invia newsletter o comunicazioni promozionali agli utenti Business. Se in futuro invieremo email su nuove funzioni o piani analoghi a quelli già usati, lo faremo nei limiti dell’art. 130, comma 4, del Codice privacy, con possibilità di opporti in ogni messaggio; per altre comunicazioni promozionali chiederemo un consenso specifico.

8. Dati necessari e facoltativi

Email, dati minimi dell’account, maggiore età, autorità, organizzazione e ruolo e informazioni necessarie alla verifica sono richiesti per usare Clubbo4Business. Senza dati obbligatori non possiamo attribuire accessi o eseguire il rapporto.

Integrazione Google Business Profile, notifiche push, analytics e diagnostica facoltativa non sono necessarie alle funzioni di base e possono essere revocate. Alcuni campi pubblici del locale sono facoltativi, ma una scheda incompleta può essere meno utile.

9. Ranking e decisioni automatizzate

Clubbo può ordinare organicamente locali ed eventi sulla base soprattutto di rilevanza rispetto a ricerca, filtri e interessi, area e distanza del consumer, data e disponibilità, completezza e aggiornamento della scheda e segnali organici aggregati di interesse. Non esiste pagamento per migliorare il posizionamento.

Controlli automatici possono evidenziare anomalie di sicurezza, ma le misure di sospensione o moderazione sono decise o riesaminate da una persona. Non adottiamo decisioni unicamente automatizzate che producano effetti giuridici o analogamente significativi ai sensi dell’art. 22 GDPR.

10. Destinatari e fornitori

Nei limiti necessari i dati possono essere comunicati o resi accessibili a:

• persone autorizzate di Clubbo e del Business, in base al ruolo;
• consumer, per i contenuti pubblici della scheda e delle proprie prenotazioni;
• fornitori che trattano dati per nostro conto come responsabili (art. 28 GDPR), elencati nella sezione 11;
• Apple e Google come titolari autonomi per distribuzione, login e pagamenti in-store;
• consulenti legali, contabili, fiscali o di sicurezza soggetti a riservatezza;
• autorità e altri destinatari previsti dalla legge.

11. Fornitori e trasferimenti extra SEE

Puoi chiedere dettagli e, ove applicabile, copia delle garanzie ai contatti del titolare.

TODO pre-lancio — Verificare località reale Netcup, DPA/SCC firmati e certificazione DPF attiva per ciascun fornitore (in particolare Mapbox, SerpApi, PostHog, RevenueCat) e l’endpoint Geoapify UE; correggere la tabella.

12. Conservazione

Scaduto il termine, eliminiamo o rendiamo anonimo il dato, oppure lo isoliamo se deve essere conservato per legge.

TODO pre-lancio — Backup e job di retention: stessi punti aperti dell’informativa consumer (implementazione, retention PostHog/Crashlytics, test di restore).

13. Cancellazione dell’account e continuità del Business

Puoi avviare la cancellazione dall’area personale dell’app (sezione account), dalla pagina web clubboapp.com/supporto/eliminazione-account o scrivendo a support@clubboapp.com. Possiamo chiedere una verifica proporzionata dell’identità.

Eventi, locali, prenotazioni, ruoli o abbonamenti attivi non bloccano la richiesta: l’account viene eliminato subito e con esso accessi, sessioni, token push e integrazioni personali. Nei locali di cui sei owner la gestione termina: gli eventi accettati futuri o in corso e le prenotazioni attive vengono annullati con notifica ai clienti, le proposte di evento in attesa vengono rifiutate e gli altri utenti autorizzati perdono l’accesso; il locale può poi essere associato da un nuovo gestore con la procedura di verifica prevista. Negli altri locali viene rimosso soltanto il tuo ruolo. I tuoi eventi indipendenti futuri o in corso vengono annullati con notifica ai partecipanti. Al termine ti inviamo una conferma via email.

Contenuti e dati dell’organizzazione non vengono necessariamente cancellati con l’account personale: possono restare sotto il controllo del Business o essere anonimizzati, perché non appartengono esclusivamente alla persona che li ha inseriti.

Eliminare l’account Clubbo non annulla automaticamente un abbonamento App Store o Google Play: devi disattivare il rinnovo dalle impostazioni dello store.

14. Diritti degli interessati

Nei casi previsti dagli artt. 15–22 GDPR puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e informazioni sulle garanzie dei trasferimenti; puoi revocare il consenso senza pregiudicare il trattamento precedente.

Scrivi a support@clubboapp.com o alla PEC clubboapp@legalmail.it, indicando l’account coinvolto e la richiesta; possiamo verificare l’identità in modo proporzionato. Rispondiamo entro un mese, prorogabile di due mesi nei casi previsti dall’art. 12 GDPR dandone comunicazione.

Se la richiesta riguarda un trattamento svolto dal locale o dall’organizzatore come titolare, può essere necessario rivolgersi a tale soggetto; ti aiutiamo a indirizzarla e, quando operiamo da responsabile, assistiamo il Business secondo il DPA.

Puoi proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, o ricorrere all’autorità giudiziaria.

15. Modalità del trattamento e sicurezza

I dati sono trattati con strumenti elettronici da personale autorizzato. Adottiamo misure tecniche e organizzative proporzionate al rischio: controllo degli accessi per ruolo, cifratura dei collegamenti, password protette con hashing, token sensibili cifrati, separazione degli ambienti, revoca delle sessioni, logging, aggiornamenti e procedure di backup e ripristino.

In caso di violazione dei dati personali notifichiamo il Garante entro 72 ore quando richiesto (art. 33 GDPR) e informiamo gli interessati quando la violazione presenta un rischio elevato (art. 34 GDPR).

Il Business deve proteggere dispositivi e credenziali, revocare rapidamente gli accessi del personale uscente e segnalarci gli incidenti a support@clubboapp.com.

16. Modifiche

Aggiorniamo l’informativa quando cambiano legge, funzioni, fornitori, categorie di dati, abbonamenti o mercati. Per cambiamenti sostanziali forniamo un avviso nell’app o via email almeno 15 giorni prima dell’efficacia, salvo modifiche imposte dalla legge o urgenti per la sicurezza. La versione corrente resta accessibile nell’app e sul sito.

17. Contatti

• Privacy, diritti e sicurezza: support@clubboapp.com
• PEC: clubboapp@legalmail.it
• Segnalazioni e moderazione: report@clubboapp.com
• Telefono: +39 346 088 1478