Privacy Policy
BOZZA DA VALIDARE — testo provvisorio, non ancora verificato da un professionista.
BOZZA NON VALIDATA: questo testo non costituisce ancora un documento legale definitivo e non garantisce la conformità normativa.
Stato del documento
BOZZA. Versione di accettazione: 2026-11-03 (testo rivisto il 03/11/2026; le accettazioni della versione 2026-11-02 restano nello storico e viene chiesta una nuova accettazione). Vale solo per la beta privata a invito, gratuita e senza pagamenti reali; il futuro lancio commerciale richiederà testi nuovi. Non è stata validata da un avvocato, da un consulente privacy o da un commercialista e non attesta la conformità a GDPR, Regolamento (UE) 2022/2065 (DSA), Codice del consumo o norme fiscali. Nessuna misura descritta qui è certificata. Prima dell’apertura al pubblico e di qualsiasi incasso deve essere rivista da un professionista.
1. Titolare del trattamento
Federico Bartilucci, gestore di Dammelo.com (https://www.dammelo.com), persona fisica privata, senza società costituita e senza partita IVA. Indirizzo postale: Strada Santa Maria Bianca 27, Voghera (PV), Italia. Contatto: scrivi a info@dammelo.com (in alternativa a federicobartilucci@gmail.com). Non è nominato un responsabile della protezione dei dati (DPO): la necessità va valutata da un professionista.
2. Dati trattati
Account: email, password (gestita in forma protetta dal servizio di autenticazione, mai visibile al gestore), nome pubblico, città e provincia, dichiarazione di maggiore età, invito alla beta. Uso del servizio: annunci di baratto e di regalo, foto ricodificate, interessi e preferiti, proposte e loro versioni, messaggi delle trattative e delle richieste regalo, conferme, recapiti che scegli di condividere dopo un accordo concluso, recensioni, segnalazioni, ricorsi e richieste di assistenza, richieste privacy (esportazione, cancellazione). Modulo «Contattaci» (anche senza account): nome, email, categoria e testo del messaggio, inoltrati via email alla casella di assistenza; per limitare gli invii ripetuti, indirizzo IP ed email vengono trasformati in un codice non leggibile (hash) conservato al massimo un giorno; IP ed email in chiaro non vengono salvati in un archivio del sito. Notifiche: notifiche nel sito e preferenza sulle email di riepilogo. Crediti: movimenti del registro crediti. Pagamenti (oggi solo ambiente di prova): pacchetto, importo, esito e riferimenti del fornitore; i dati della carta non arrivano a Dammelo. Prove legali: documento, versione e ora del server di accettazioni e scelte. Sicurezza e funzionamento: registri tecnici del fornitore, segnalazioni di errore dell’applicazione (ripulite e limitate) e registro delle azioni amministrative. Non chiediamo posizione GPS né indirizzi; i dati di posizione vengono rimossi dalle foto prima del caricamento.
3. Finalità e basi giuridiche
a) Creare e gestire l’account, pubblicare annunci, gestire baratti e regali, sbloccare i recapiti, inviare notifiche e email di servizio legate al tuo account: esecuzione del contratto (art. 6.1.b GDPR). b) Registro crediti, prova delle accettazioni e, quando ci saranno pagamenti reali, contabilità: obbligo di legge (art. 6.1.c) dove applicabile, altrimenti legittimo interesse a dimostrare le operazioni. c) Sicurezza, prevenzione abusi, correzione di errori, moderazione e gestione di segnalazioni e ricorsi: legittimo interesse (art. 6.1.f), subordinato a una valutazione di bilanciamento documentata non ancora completata, e, per i contenuti illeciti, gli obblighi del DSA eventualmente applicabili. d) Gestione delle richieste privacy: obbligo di legge (art. 6.1.c). e) Novità sul servizio: solo con consenso facoltativo e separato, revocabile in ogni momento (art. 6.1.a). La lettura di questa informativa è una presa visione, non un consenso. Senza i dati di cui al punto a) non è possibile usare il servizio. Non prendiamo decisioni basate unicamente su trattamenti automatizzati con effetti giuridici (art. 22): filtri anti-contatto e regole di compatibilità sono strumenti tecnici e le sospensioni sono decise da una persona. La scelta delle basi giuridiche è una proposta da confermare con un professionista.
4. Chi vede i dati
Gli altri utenti iscritti vedono annunci attivi e il profilo pubblico (nome pubblico, città, provincia, valutazioni); anche chi non ha effettuato l’accesso vede i testi e le foto degli annunci attivi (servite tramite collegamenti temporanei), mentre recapiti, messaggi, trattative e dati privati del profilo restano protetti. PUNTO DA REVISIONE LEGALE: valutare informativa e base giuridica per la visibilità pubblica delle foto. Messaggi e trattative sono visibili solo ai partecipanti. I recapiti sono visibili solo alla controparte e solo dopo la doppia conferma andata a buon fine. Dopo uno scambio concluso la controparte conserva il riepilogo dell’accordo; non è garantito che continui a vedere tutte le foto degli oggetti scambiati. Il gestore accede ai dati solo per assistenza, sicurezza, moderazione e richieste privacy, con verifica in due passaggi; le azioni amministrative sono registrate. Non vendiamo dati e non facciamo pubblicità profilata.
5. Fornitori e trasferimenti
Il servizio è ospitato da Lovable Labs AB (Stoccolma, Svezia), che fornisce hosting, database, autenticazione, archivio foto ed email di servizio; il database risulta nella regione UE di Parigi. Secondo l’elenco pubblico dei subfornitori di Lovable intervengono, tra gli altri, Supabase, Google Cloud, Amazon Web Services, Cloudflare e Mailgun, alcuni anche fuori dallo Spazio economico europeo, per i quali Lovable indica le Clausole contrattuali standard UE: queste garanzie sono dichiarate dal fornitore e non sono state verificate dal gestore. I caratteri tipografici sono inclusi nel sito e serviti dallo stesso dominio: secondo il codice attuale non vengono caricati da Google Fonts. Le email del modulo «Contattaci» e le email di servizio passano dall’infrastruttura email del fornitore di hosting. I pagamenti di prova passano da Stripe. PUNTO APERTO: con il piano attuale Lovable ha confermato per iscritto il 02/11/2026 che non è incluso un accordo sul trattamento dei dati ai sensi dell’art. 28 GDPR; lo include il piano Business. Finché quel piano e il relativo accordo non sono attivi e verificati, questo requisito NON è soddisfatto; è una condizione per il lancio pubblico.
6. Conservazione e cancellazione
Non sono ancora fissate durate massime per categoria: sono una proposta da approvare con un professionista. Criteri attuali: account e profilo finché l’account è attivo. La cancellazione avviene in due momenti distinti. 1) Richiesta: dal profilo puoi chiedere la cancellazione; la richiesta viene registrata, i tuoi annunci vengono messi in pausa e l’account resta in attesa, ma i dati non sono ancora cancellati. La richiesta è rifiutata finché ci sono trattative, regali o pagamenti aperti. 2) Esecuzione: il gestore, con verifica in due passaggi e motivazione registrata, esegue una cancellazione selettiva che rimuove profilo pubblico, annunci non scambiati con le loro foto, preferiti, interessi e notifiche, sostituisce l’email con un indirizzo non valido e blocca l’accesso. Ciò che serve alle controparti o alla legge viene conservato in forma pseudonima («Utente rimosso»), non anonima: scambi e regali conclusi, relativi messaggi e recensioni, registro crediti, pagamenti, segnalazioni e registro delle azioni amministrative. Non è indicato un termine fisso per l’esecuzione: il riferimento è il termine di risposta previsto dall’art. 12 GDPR. Prove di accettazione: per la durata del rapporto e per il tempo necessario a difendere un diritto. Oggi non è attiva alcuna cancellazione automatica: le notifiche lette possono essere eliminate solo manualmente dal gestore. Se un account è coinvolto in una contestazione o in una richiesta dell’autorità, il gestore può applicare un blocco legale registrato che sospende cancellazione e pulizie per quell’account. Backup: secondo Lovable (02/11/2026) i dati eliminati vengono rimossi dal database attivo mentre le copie di backup sono temporanee, senza durata fissa pubblicata, e i file delle foto non sono inclusi; i dati cancellati possono quindi restare per un periodo non determinato nei backup del fornitore, senza essere usati. I registri del fornitore seguono la sua informativa.
7. Diritti e come esercitarli
Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revocare i consensi. Dal profilo puoi scaricare una copia dei tuoi dati in formato JSON e inviare la richiesta di cancellazione. Non c’è oggi un pulsante per annullarla: per ritirarla prima dell’esecuzione, o per le altre richieste, scrivi a info@dammelo.com (in alternativa a federicobartilucci@gmail.com). Il gestore verifica l’identità e risponde entro un mese, prorogabile nei casi previsti dall’art. 12 GDPR. Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
8. Notifiche ed email
Le notifiche compaiono nel sito. Le email di riepilogo non sono immediate: vengono inviate a intervalli, solo per notifiche non lette da alcuni minuti, e non contengono messaggi né dati dell’altra persona. Puoi disattivarle dal profilo; durante la manutenzione non vengono inviate. La consegna delle email dipende dal fornitore e non è garantita.
9. Sicurezza, incidenti, minori e modifiche
Usiamo permessi separati per utente, verifica in due passaggi per l’area di gestione, registro crediti non modificabile dagli utenti e foto senza dati di posizione: misure che riducono i rischi senza eliminarli e che non sono certificate. In caso di violazione dei dati il gestore la documenta internamente (art. 33.5 GDPR), ne valuta il rischio e, quando richiesto dagli artt. 33-34 GDPR, lo notifica al Garante entro 72 ore da quando ne è venuto a conoscenza e, se il rischio è elevato, informa gli interessati; il registro interno delle violazioni è tenuto nell’area di gestione, senza invii automatici; la procedura scritta e i criteri di valutazione del rischio sono da confermare con un professionista. Il servizio è riservato ai maggiorenni; l’età è dichiarata e non verificata con documenti; se veniamo a sapere che un account appartiene a un minore lo blocchiamo. Se questa informativa cambia in modo sostanziale, la nuova versione viene mostrata agli utenti collegati e la presa visione viene registrata con data e versione.