Informativa sulla Privacy

1. Chi siamo

DivePilot è un prodotto di AskAnything GmbH, Zugerstrasse 6, CH-6330 Cham, Svizzera ("noi", "nostro"). La nostra piattaforma è accessibile all'indirizzo my.divepilot.app e il nostro sito vetrina all'indirizzo divepilot.app.

Per i dati relativi al tuo centro immersioni e alle persone che vi accedono, come i dati dell'account e di fatturazione, agiamo come titolari del trattamento. Per i dati personali che i centri immersioni conservano sui propri clienti (ospiti, allievi e subacquei) e sul lavoro del proprio staff, come turni, assenze e compensi, il titolare è il centro immersioni e noi trattiamo quei dati per suo conto come responsabili del trattamento, secondo quanto previsto dai nostri Termini di Servizio.

Per qualsiasi questione relativa alla privacy puoi raggiungerci a privacy@divepilot.app.

2. Dati che raccogliamo

Raccogliamo le seguenti categorie di dati:

• Dati dell'account: nome, indirizzo e-mail, password (con hash), ruolo e permessi, preferenze di lingua e di visualizzazione e marca temporale dell'ultimo accesso per gli utenti dello staff.
• Dati sul lavoro dello staff: se un centro immersioni usa i turni e i compensi, gli incarichi, le assenze (compresi i giorni di malattia), le impostazioni dei compensi e i guadagni che registra per il proprio staff.
• Dati del centro immersioni: ragione sociale, e-mail, Paese, fuso orario, valuta e stato dell'abbonamento.
• Dati dei clienti: nome, cognome, e-mail, telefono, data di nascita, nazionalità, sesso, lingua, indirizzo, numero di passaporto, brevetti e relativi numeri, storico delle immersioni, taglie dell'attrezzatura e zavorra, esigenze alimentari e note mediche, inseriti dallo staff del centro immersioni o dai clienti stessi tramite il modulo di autoregistrazione o un link a tempo che il centro immersioni invia loro per controllare e aggiornare i propri dati. Un ospite che prenota online può inserire anche i dati delle persone per cui prenota, come familiari o amici, e un indirizzo e-mail facoltativo per ciascuna; il centro immersioni conserva questi dati come quelli di qualsiasi altro cliente. Registriamo inoltre quando un cliente ha accettato l'informativa sulla privacy e in quale versione, le modifiche che i clienti apportano tramite tale link e quale membro dello staff ha verificato o respinto un brevetto e quando.
• Dati di liberatoria e salute: quando un cliente firma una liberatoria digitale conserviamo il documento firmato, la firma, il nome completo, la marca temporale, l'indirizzo IP e le informazioni del browser come prova legale della firma. Un genitore o un tutore può firmare per conto di un minore. Quando una liberatoria comprende un questionario medico, le risposte del cliente sono conservate come dati sanitari insieme al registro della firma e sono visibili solo al centro immersioni responsabile.
• Dati di prenotazione e uscita: registri delle prenotazioni, compresi gli orari di check-in, programmi delle uscite in barca, assegnazioni ai gruppi d'immersione, noleggi, frequenza ai corsi, informazioni sui partecipanti, logbook delle immersioni e foto delle checklist cartacee delle uscite che il centro immersioni carica.
• Dati di pagamento: i pagamenti dell'abbonamento sono elaborati da Stripe. Per mostrarti lo stato della fatturazione e lo storico dei pagamenti conserviamo sui nostri server i riepiloghi delle fatture e i metadati del metodo di pagamento (circuito della carta, ultime quattro cifre e data di scadenza). I numeri di carta completi e le credenziali di pagamento non raggiungono mai i nostri server - sono custoditi esclusivamente da Stripe.
• Dati di utilizzo: log del server relativi a richieste, errori ed eventi di sicurezza, compreso quale utente autenticato ha effettuato una richiesta e quando, usati per finalità di sicurezza e debug. I nostri server web registrano inoltre l'indirizzo IP di ogni richiesta.

3. Come usiamo i tuoi dati

Usiamo i dati raccolti per:

• Fornire, gestire e mantenere la piattaforma DivePilot
• Elaborare i pagamenti dell'abbonamento tramite Stripe
• Inviare e-mail transazionali allo staff (verifica dell'account, reimpostazione della password, link di invito, avvisi di nuove registrazioni, promemoria giornalieri) e al titolare dell'account riguardo all'abbonamento (fine del periodo di prova, rinnovo, pagamenti non riusciti o in sospeso, contestazioni di pagamento, disdetta e avvisi di blocco dell'account) e, per conto del centro immersioni, e-mail ai suoi clienti (prenotazione ricevuta, confermata, modificata o cancellata, con un file di calendario e un codice di check-in; conferme di registrazione; link per firmare le liberatorie; link per controllare i propri dati; promemoria dei dati mancanti prima di un'immersione; logbook condivisi)
• Rispondere alle richieste di assistenza
• Monitorare la sicurezza, prevenire le frodi e mantenere stabile la piattaforma
• Adempiere agli obblighi di legge

Non usiamo i tuoi dati per pubblicità, profilazione o qualsiasi finalità che vada oltre la gestione del servizio.

4. Base giuridica del trattamento

Trattiamo i dati personali sulle seguenti basi giuridiche del GDPR:

• Esecuzione del contratto: per fornire il servizio che hai sottoscritto.
• Legittimo interesse: per il monitoraggio della sicurezza, la prevenzione delle frodi e il miglioramento del servizio.
• Obbligo di legge: dove richiesto dalla legge applicabile.
• Consenso: dove lo hai prestato espressamente, per esempio durante l'autoregistrazione dei clienti.

5. Conservazione e sicurezza

Tutti i dati sono conservati su server situati all'interno dell'Unione europea. Adottiamo misure di sicurezza conformi agli standard del settore, tra cui:

• Crittografia TLS/SSL per tutti i dati in transito
• Password cifrate con hash bcrypt
• Autenticazione a token, con token di accesso a breve durata e token di aggiornamento a rotazione
• Controlli di accesso basati sui ruoli all'interno della piattaforma
• Revisioni di sicurezza periodiche

I moduli pubblici come registrazione, prenotazione e firma delle liberatorie sono protetti da un controllo automatico anti-abuso che viene eseguito nel browser del visitatore. Non imposta cookie, non coinvolge terze parti e non tratta dati personali.

6. Condivisione dei dati

Condividiamo i dati solo con i seguenti fornitori, che li trattano per nostro conto:

• Stripe: elaborazione dei pagamenti. Stripe riceve il nome e l'indirizzo e-mail del centro immersioni, e la schermata di sottoscrizione carica il modulo di pagamento di Stripe dai server di Stripe. Soggetta all'informativa sulla privacy di Stripe.
• PurelyMail (Add Rabbit, LLC): invio delle e-mail transazionali da server negli Stati Uniti (Amazon Web Services, Virginia).
• Hetzner Online GmbH: hosting della piattaforma, del suo database, dei file caricati e dei backup nel data center di Hetzner a Norimberga, in Germania.
• Open-Meteo: previsioni meteo nella dashboard. Il tuo browser le richiede direttamente a Open-Meteo e invia solo le coordinate dei siti d'immersione, anche se, come per qualsiasi richiesta web, Open-Meteo può vedere il tuo indirizzo IP.
• OpenStreetMap Foundation: le mappe dei siti d'immersione caricano le loro tessere cartografiche, e la configurazione iniziale cerca la posizione del tuo Paese, direttamente dai server di OpenStreetMap. Come per qualsiasi richiesta web, la OpenStreetMap Foundation (Regno Unito) può vedere il tuo indirizzo IP; non viene inviato nessun altro dato personale.

Stripe tratta dati negli Stati Uniti nell'ambito del Data Privacy Framework UE-USA e del Data Privacy Framework Svizzera-USA. PurelyMail (Add Rabbit, LLC) invia le nostre e-mail da server negli Stati Uniti, dove la normativa sulla protezione dei dati non offre lo stesso livello di protezione della Svizzera o dell'Unione europea. La OpenStreetMap Foundation ha sede nel Regno Unito, al quale la Commissione europea riconosce un livello di protezione adeguato.

Sia la piattaforma sia i nostri siti web servono tutti i font e i file dai nostri server - non vengono fatte richieste di font o di analisi a Google o ad altre società pubblicitarie. Il nostro sito vetrina e il nostro Centro assistenza (help.divepilot.app) misurano le visite con Umami, uno strumento di analisi open source che gira sui nostri server in Europa: conta in forma aggregata le pagine viste, i siti di provenienza e alcune interazioni, come la riproduzione di un video del prodotto. Non imposta cookie, non conserva indirizzi IP e non condivide nulla con terzi.

Non vendiamo, non noleggiamo e non scambiamo dati personali con terzi. Comunichiamo dati alle autorità solo se la legge lo impone.

Schermi del tabellone partenze: un centro immersioni può mostrare le sue prossime partenze su uno schermo nel proprio negozio tramite un link segreto che non richiede l'accesso. Lo schermo mostra i nomi dei clienti (per intero, oppure nome e iniziale del cognome, a scelta del centro immersioni), il loro livello di brevetto e se a una prenotazione mancano ancora una liberatoria, un brevetto verificato o l'attrezzatura, oltre ai nomi dell'equipaggio. Il centro immersioni decide dove collocare lo schermo e può revocare il link in qualsiasi momento.

7. Tempi di conservazione

Conserviamo i dati finché il tuo account è attivo. Se il periodo di prova o l'abbonamento è terminato e l'account resta bloccato, conserviamo i dati per 12 mesi, ti scriviamo un'e-mail 30 giorni e 7 giorni prima della scadenza e poi disattiviamo l'account; i suoi dati vengono cancellati definitivamente 30 giorni dopo. Mentre l'account è bloccato, puoi scaricare tutti i dati dei clienti in un unico foglio di calcolo dalla schermata di sottoscrizione.

• Quando elimini record o il tuo account, i dati vengono disattivati ("eliminazione logica") e non sono più accessibili nella piattaforma, ma restano conservati nei nostri sistemi come protezione contro le eliminazioni accidentali. Se elimini il tuo account, questo viene disattivato subito e tutti i suoi dati vengono cancellati definitivamente e automaticamente 30 giorni dopo, salvo dove la conservazione sia obbligatoria per legge. Entro quei 30 giorni puoi scrivere a support@divepilot.app per far ripristinare l'account.
• In tutti gli altri casi, la cancellazione definitiva viene eseguita su richiesta: scrivi a privacy@divepilot.app e cancelleremo i dati in modo irreversibile entro 30 giorni, salvo dove la conservazione sia obbligatoria per legge.
• Le fatture del tuo abbonamento sono conservate per 10 anni dal nostro fornitore di pagamenti Stripe, come richiesto dal diritto contabile svizzero. Non vengono cancellate quando viene cancellato il tuo account.
• I log del server sono conservati da 7 a 90 giorni a seconda del tipo: i log delle richieste per 7 giorni, i log generali (che comprendono i destinatari delle e-mail che inviamo) per 14 giorni, i log degli errori per 30 giorni e i log di sicurezza per 90 giorni. I log dei server web che contengono indirizzi IP vengono ruotati automaticamente e sovrascritti quando raggiungono una dimensione prestabilita.
• I backup del database sono conservati fino a 4 settimane (le ultime 7 copie giornaliere e le ultime 4 settimanali) e sono usati solo per ripristinare il servizio. I dati cancellati dalla piattaforma possono restare in questi backup finché non vengono sovrascritti, al massimo 4 settimane dopo.
• Le liberatorie firmate, compresi la firma ed eventuali risposte mediche, sono conservate come prova di ciò che il cliente ha accettato per tutto il tempo in cui il centro immersioni le conserva, anche quando il centro immersioni anonimizza gli altri dati del cliente, perché possono essere necessarie per accertare, esercitare o difendere un diritto in sede giudiziaria.
• I link inviati ai clienti scadono: i link per firmare le liberatorie dopo 48 ore e i link per aggiornare i propri dati dopo al massimo 30 giorni. I link del tabellone partenze e i link dei logbook condivisi restano validi finché il centro immersioni non li revoca.

8. I tuoi diritti

In base al GDPR e alla legge svizzera sulla protezione dei dati (nLPD), hai diritto a:

• Accesso: chiedere una copia dei tuoi dati personali
• Rettifica: correggere dati inesatti
• Cancellazione: chiedere la cancellazione dei tuoi dati
• Portabilità: ricevere i tuoi dati in un formato leggibile da una macchina
• Opposizione: opporti a un trattamento basato sul legittimo interesse
• Limitazione: chiedere la limitazione del trattamento

Per esercitare uno di questi diritti, scrivici a privacy@divepilot.app. Rispondiamo entro 30 giorni.

Hai inoltre il diritto di presentare reclamo a un'autorità di controllo - in Svizzera l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), oppure l'autorità di protezione dei dati del tuo Paese di residenza.

9. Cookie e archiviazione locale

DivePilot utilizza due cookie sulla piattaforma, entrambi strettamente necessari per l'accesso: un cookie di sessione e un cookie di aggiornamento, che ti autenticano presso i nostri server e non possono essere letti da alcuno script eseguito sulla pagina. Essendo strettamente necessari, non richiedono consenso ai sensi del GDPR/della direttiva ePrivacy. Alcune preferenze di visualizzazione e un'indicazione che hai effettuato l'accesso sono conservate nell'archiviazione locale del tuo browser; le pagine per i clienti ricordano la lingua scelta e conservano nel browser un modulo non completato per un massimo di quattro ore. Non usiamo cookie pubblicitari né di tracciamento, e sulla nostra piattaforma non viene caricato alcuno script di analisi di terze parti. La schermata di sottoscrizione carica il modulo di pagamento di Stripe, che può impostare cookie propri di Stripe per prevenire le frodi; tali cookie sono regolati dall'informativa sulla privacy di Stripe.

Il nostro sito vetrina e il nostro Centro assistenza non impostano cookie: il loro conteggio delle visite (Umami, descritto nella sezione Condivisione dei dati) non usa cookie e non identifica alcun visitatore.

10. Privacy dei minori

DivePilot è una piattaforma tra aziende rivolta ai gestori di centri immersioni. I centri immersioni possono registrare dati di minori che si immergono con loro, come i subacquei junior; la liberatoria di un minore è firmata da un genitore o da un tutore, e spetta al centro immersioni ottenere qualsiasi consenso richiesto dalla legge per un minore. Non raccogliamo consapevolmente dati direttamente da minori di 16 anni. Se ritieni che i dati di un minore siano stati inseriti senza il consenso necessario, contattaci subito.

11. Modifiche a questa informativa

Possiamo aggiornare questa informativa sulla privacy di tanto in tanto. In caso di modifiche significative informiamo i titolari degli account via e-mail e aggiorniamo qui sopra la data di "Ultimo aggiornamento". L'uso continuato della piattaforma dopo la notifica costituisce accettazione dell'informativa aggiornata.

Questa informativa sulla privacy è stata redatta in inglese. Le traduzioni in altre lingue sono fornite solo per comodità. In caso di discrepanza tra la versione inglese e una traduzione, prevale la versione inglese.

12. Contatti

Per qualsiasi domanda su questa informativa o su come trattiamo i tuoi dati: