Informativa sulla privacy

Lyriot («noi», «nostro») si impegna a proteggere la tua privacy. La presente informativa spiega come raccogliamo, utilizziamo, condividiamo e proteggiamo i tuoi dati personali, nel rispetto del Regolamento generale sulla protezione dei dati (GDPR) e della normativa francese applicabile.

Raccogliamo le seguenti categorie di dati:

• Dati di registrazione: nome e cognome, indirizzo e-mail, password cifrata (bcrypt), città, paese, sesso, data di nascita, numero di telefono (facoltativo).
• Dati del profilo: foto profilo (archiviata su Cloudflare R2), biografia, interessi.
• Dati di attività: eventi creati e a cui hai partecipato, iscrizioni in lista d'attesa, commenti pubblicati, reazioni, check-in tramite codice QR, messaggi scambiati (contenuto e data), amicizie, stato di lettura dei messaggi (conferme di lettura), obiettivi sbloccati, serie di attività, codice di invito ed elenco degli invitati.
• Dati di gamification: punti accumulati per origine, grado attuale, storico delle classifiche, boost attivi e relativa scadenza, saldo e storico del portafoglio punti.
• Dati di pagamento: storico delle transazioni (abbonamenti, eventi a pagamento, boost), abbonamento attivo e data di rinnovo. I dati bancari e delle carte sono trattati esclusivamente da Stripe: noi non li conserviamo mai.
• Dati dell'organizzatore (Stripe Connect): per gli organizzatori che ricevono pagamenti, Stripe raccoglie direttamente i dati di verifica dell'identità: identità (nome, data di nascita, documento d'identità scansionato), indirizzo postale completo, coordinate bancarie (IBAN o numero di conto) ed eventualmente informazioni societarie (ragione sociale, codice fiscale). Questi dati sono soggetti all'informativa sulla privacy di Stripe.
• Dati di geolocalizzazione: coordinate GPS (latitudine/longitudine) inserite al momento della creazione di un evento, per visualizzare la mappa e consentire la ricerca per vicinanza. Non raccogliamo mai la posizione in modo continuativo. Se hai già autorizzato la geolocalizzazione sul tuo dispositivo, la tua posizione, arrotondata a una decina di chilometri, serve anche a ordinare i suggerimenti di città; non viene salvata nel tuo account.
• Dati di candidatura: CV, lettera di presentazione e indirizzo LinkedIn inviati tramite /careers/apply, archiviati su Cloudflare R2 (bucket «resumes»). Sono conservati per un massimo di 2 anni.
• Dati di contatto: nome, indirizzo e-mail e contenuto dei messaggi inviati tramite il modulo /contact.
• Dati tecnici: indirizzo IP, tipo di browser, pagine visitate, data e ora di connessione, identificativo di sessione (NextAuth), token per le notifiche push (Firebase).

I tuoi dati sono utilizzati per:

• Fornire, gestire e migliorare i nostri servizi
• Autenticarti e proteggere il tuo account (accesso con e-mail e password oppure tramite Google OAuth)
• Mostrarti gli eventi, i profili e le classifiche che ti riguardano
• Elaborare i pagamenti (abbonamenti, eventi a pagamento, boost) tramite Stripe
• Versare i fondi agli organizzatori di eventi a pagamento tramite Stripe Connect
• Inviare notifiche (e-mail con Resend, push con Firebase)
• Assegnare i punti automaticamente ogni 15 minuti tramite attività pianificate (cron)
• Calcolare e aggiornare automaticamente i gradi degli utenti
• Generare le ripetizioni degli eventi ricorrenti (settimanali, mensili, ecc.)
• Incassare e trasferire agli organizzatori i pagamenti degli eventi
• Azzerare periodicamente le classifiche settimanali, mensili e annuali
• Verificare i requisiti del programma di invito (prevenzione degli abusi)
• Mostrare il tuo stato online e la tua ultima attività alle tue amicizie
• Consentire la moderazione dei contenuti e la gestione delle segnalazioni
• Prevenire frodi, abusi e account multipli
• Adempiere ai nostri obblighi di legge e contabili

Trattiamo i tuoi dati sulle seguenti basi giuridiche:

• Esecuzione del contratto: per fornirti i servizi Lyriot che hai richiesto (account, eventi, pagamenti, messaggistica)
• Legittimo interesse: per migliorare la piattaforma, prevenire le frodi, garantire la sicurezza, mostrare lo stato online e gestire le classifiche
• Consenso: per le notifiche push (revocabile in qualsiasi momento dalle impostazioni) e per le comunicazioni commerciali facoltative
• Obbligo di legge: per rispettare la normativa applicabile, in particolare gli obblighi contabili (conservazione per 5 anni) e le richieste dell'autorità giudiziaria

Non vendiamo mai i tuoi dati personali. Li condividiamo unicamente con i nostri fornitori tecnici, nella sola misura necessaria a erogare il servizio:

• Stripe: elaborazione dei pagamenti (abbonamenti, eventi a pagamento, boost) e versamenti agli organizzatori tramite Stripe Connect — informativa di Stripe
• OVH: hosting del database PostgreSQL (VPS, Francia); Cloudflare R2: archiviazione dei file (foto profilo, CV)
• Resend: invio delle e-mail transazionali (conferma di registrazione, reimpostazione della password, avvisi sugli eventi)
• Mapbox: visualizzazione delle mappe interattive per la posizione degli eventi e la ricerca per vicinanza
• Photon (komoot) e Nominatim (OpenStreetMap Foundation, dati nel Regno Unito e nei Paesi Bassi): suggerimenti di città durante la digitazione; Nominatim viene usato solo se Photon non risponde. I nostri server trasmettono loro unicamente il testo digitato e, per Photon, una posizione approssimativa: il centro del tuo Paese o, se hai già autorizzato la geolocalizzazione, la tua posizione arrotondata a una decina di chilometri. Il tuo nome, il tuo indirizzo IP e il tuo account non vengono mai trasmessi.
• Firebase (Google): invio delle notifiche push ai tuoi dispositivi (se le hai attivate)
• Google OAuth: se scegli di accedere con Google, il tuo nome, la tua e-mail e la tua foto profilo Google vengono trasmessi a Lyriot
• Autorità competenti: quando la legge, un provvedimento dell'autorità giudiziaria o la tutela dei nostri diritti legittimi lo impongano

Alcuni fornitori hanno sede al di fuori dell'Unione europea (Firebase/Google, Stripe, negli Stati Uniti). Questi trasferimenti sono garantiti da:

• Le clausole contrattuali tipo approvate dalla Commissione europea
• Le decisioni di adeguatezza della Commissione (ad esempio il Data Privacy Framework UE-USA per Stripe e Google)
• Le garanzie adeguate previste dall'articolo 46 del GDPR

Conserviamo i tuoi dati per tutto il tempo in cui il tuo account resta attivo. Se lo elimini, i dati vengono cancellati entro 30 giorni, salvo obblighi di legge:

• Dati delle transazioni: 5 anni (obbligo contabile francese)
• Dati di candidatura (CV, lettere): massimo 2 anni
• Registri tecnici: 12 mesi
• Storico di moderazione e sanzioni: a tempo indeterminato (sicurezza e prevenzione degli abusi)
• Messaggi privati eliminati: i metadati (data, partecipanti) possono essere conservati anche dopo la cancellazione del contenuto

Ai sensi del GDPR, disponi dei seguenti diritti:

• Diritto di accesso: consultare i dati che deteniamo su di te
• Diritto di rettifica: correggere i dati inesatti (direttamente nelle Impostazioni o contattandoci)
• Diritto alla cancellazione: eliminare il tuo account da Impostazioni → Area sensibile (trattato entro 30 giorni)
• Diritto alla portabilità: ottenere una copia dei tuoi dati in un formato strutturato
• Diritto di opposizione: opporti a determinati trattamenti (ad esempio comunicazioni commerciali o stato online)
• Diritto di limitazione: chiedere la sospensione del trattamento in determinati casi
• Diritti relativi alle decisioni automatizzate: essere informato dei trattamenti automatizzati (assegnazione dei punti, calcolo del grado, convalida degli inviti) e contestarne l'esito

Per esercitare questi diritti: modulo di contatto. Puoi inoltre presentare un reclamo alla CNIL.

Misure tecniche e organizzative adottate:

• Cifratura di tutte le comunicazioni in transito (HTTPS/TLS)
• Password cifrate con bcrypt (mai conservate in chiaro)
• Accesso ai dati limitato secondo il principio del privilegio minimo
• Archiviazione sicura dei file su Cloudflare R2 (accesso tramite URL firmato temporaneo)
• Protezione CSRF su tutti i moduli (token NextAuth)
• Registrazione delle operazioni di amministrazione
• Backup periodici del database
• In caso di violazione dei dati, le persone interessate saranno informate entro 72 ore, come previsto dal GDPR

Utilizziamo cookie tecnici necessari al funzionamento della piattaforma (sessione utente, protezione CSRF). Usiamo inoltre l'archiviazione locale del tuo browser per ricordare le tue preferenze (tema chiaro o scuro, valuta di visualizzazione, lingua): questi dati non lasciano mai il tuo dispositivo. Per saperne di più, consulta la nostra informativa sui cookie.

Lyriot è aperto alle persone di almeno 15 anni, ai sensi dell'articolo 7-1 della legge francese sulla protezione dei dati. Nei paesi la cui normativa prevede un'età diversa (ad esempio 13 anni negli Stati Uniti secondo la COPPA, oppure 16 anni in alcuni Stati membri dell'UE), si applica l'età più tutelante. Non raccogliamo consapevolmente dati di minori che non abbiano raggiunto l'età richiesta. Se ritieni che un minore in questa situazione abbia creato un account, contattaci immediatamente.

Oltre al GDPR europeo, Lyriot rispetta le seguenti normative sulla protezione dei dati a seconda del tuo paese di residenza:

• California (CCPA/CPRA): se risiedi in California, disponi di diritti aggiuntivi ai sensi del California Consumer Privacy Act e del California Privacy Rights Act: diritto di sapere quali dati personali vengono raccolti, diritto alla cancellazione, diritto di opporti alla vendita dei dati (noi non vendiamo i tuoi dati) e diritto a non subire discriminazioni per averli esercitati. Scrivici a contact@lyriot.com per farli valere.
• Regno Unito (UK GDPR): rispettiamo il UK GDPR successivo alla Brexit. L'autorità di controllo è l'ICO (Information Commissioner's Office). I tuoi diritti sono equivalenti a quelli del GDPR europeo.
• Brasile (LGPD): ai sensi della Lei Geral de Proteção de Dados Pessoais, disponi dei diritti di accesso, correzione, cancellazione, portabilità e opposizione. L'autorità competente è l'ANPD (Autoridade Nacional de Proteção de Dados).
• Canada (PIPEDA + Legge 25): rispettiamo il Personal Information Protection and Electronic Documents Act (PIPEDA) e, in Québec, la Legge 25 (legge di modernizzazione delle disposizioni in materia di protezione dei dati personali). Autorità: OPC (federale) e CAI (Québec).
• Australia (Privacy Act 1988): rispettiamo l'Australian Privacy Act e gli Australian Privacy Principles. L'autorità competente è l'OAIC (Office of the Australian Information Commissioner).
• Giappone (APPI): ai sensi della legge sulla protezione dei dati personali (個人情報の保護に関する法律), rispettiamo gli obblighi dell'APPI. L'autorità competente è la PPC (Personal Information Protection Commission / 個人情報保護委員会).
• Cina (PIPL): ai sensi della legge sulla protezione dei dati personali (个人信息保护法), trattiamo i tuoi dati secondo i principi di liceità, legittimità e necessità. L'autorità competente è la CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Corea del Sud (PIPA): ai sensi della legge sulla protezione dei dati personali (개인정보 보호법), disponi dei diritti di accesso, rettifica, cancellazione e opposizione. L'autorità competente è la PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• India (DPDP Act 2023): ai sensi del Digital Personal Data Protection Act 2023, hai diritto all'informazione, alla correzione e alla cancellazione dei tuoi dati personali digitali. L'organismo competente è il Data Protection Board of India (in corso di costituzione da parte del MeitY).
• Turchia (KVKK): ai sensi della legge n. 6698 sulla protezione dei dati personali (Kişisel Verilerin Korunması Kanunu), disponi dei diritti di accesso, correzione e cancellazione. L'autorità competente è la KVKK (Kişisel Verileri Koruma Kurumu).
• Indonesia (UU PDP): ai sensi della legge n. 27/2022 sulla protezione dei dati personali (Undang-Undang Perlindungan Data Pribadi), i tuoi diritti comprendono l'accesso, la correzione e la cancellazione. L'organismo competente è il Kementerian Komunikasi dan Informatika.
• Thailandia (PDPA): ai sensi del Personal Data Protection Act B.E. 2562 (2019), disponi dei diritti di accesso, portabilità, cancellazione e opposizione. L'organismo competente è il PDPC (Personal Data Protection Committee).
• Arabia Saudita (PDPL): ai sensi della Personal Data Protection Law (نظام حماية البيانات الشخصية), disponi dei diritti di accesso e correzione. L'autorità competente è la SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Autorità di controllo per paese :

Possiamo aggiornare questa informativa in qualsiasi momento. In caso di modifica sostanziale, ti avviseremo per e-mail o tramite una notifica sulla piattaforma. Continuare a utilizzare Lyriot dopo tale avviso equivale ad accettare le modifiche.

La presente informativa è redatta in lingua francese. Le versioni in altre lingue sono traduzioni fornite a titolo informativo; in caso di discrepanza, fa fede esclusivamente la versione francese.

Titolare del trattamento: Lyriot, Francia.

Per qualsiasi domanda sui tuoi dati personali, per esercitare i tuoi diritti GDPR (accesso, rettifica, cancellazione, portabilità, opposizione, limitazione) o per qualsiasi reclamo relativo al trattamento dei tuoi dati: modulo di contatto oppure direttamente a contact@lyriot.com.

Puoi inoltre presentare un reclamo all'autorità di controllo competente: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Parigi.