Informativa sulla privacy

Oktapus è una tessera fedeltà digitale. Questa pagina le dice quali dati trattiamo, perché, su quale base giuridica, chi altro li vede, per quanto tempo li conserviamo e come riprenderne il controllo. Vale per il sito oktapus.app, per lo spazio esercenti e lo spazio clienti che contiene, per l'applicazione Oktapus installata sul suo telefono e per Oktapus Pro, l'applicazione dell'esercente e del suo team.

È scritta per essere letta per intero, e fornisce le informazioni degli articoli 13 e 14 del regolamento generale sulla protezione dei dati.

Altis Koten SRL, iscritta alla Banca-Carrefour delle Imprese con il numero BE 1037.896.832, con sede legale in Traverse d'Esope 6, 1348 Ottignies-Louvain-la-Neuve, Belgique, decide le finalità e i mezzi dei trattamenti qui descritti.

Per qualsiasi domanda scriva a hello@fideloop.app. Non abbiamo nominato un responsabile della protezione dei dati: a oggi la nostra attività non rientra in nessuno dei casi dell'articolo 37, e questa pagina cambierà il giorno in cui ciò non sarà più vero. La sua richiesta arriva quindi direttamente alle persone che mandano avanti il servizio.

Nulla viene chiesto per ogni evenienza. Ecco l'elenco completo, categoria per categoria.

• Il suo account: il suo indirizzo email, oppure l'indirizzo di inoltro che Apple crea per noi quando sceglie di nascondere il suo, un identificativo interno, la sua lingua, la scelta del tema chiaro o scuro, le sue scelte sulle notifiche, i servizi di accesso che ha collegato e la data di creazione. Non chiediamo né il suo nome, né la sua foto, né la sua data di nascita.
• La sua fedeltà: i negozi in cui ha una tessera, le sue tessere, ogni timbro con la sua data, il suo negozio e il modo in cui è stato messo, i premi consegnati e le correzioni fatte da un esercente.
• Il suo codice: la chiave da cui il suo telefono, o la pagina dello spazio clienti del sito, calcola il codice che mostra al bancone, la traccia dei codici già usati e l'ultimo timbro che un negozio ha rifiutato, con la sua data.
• Il concorso: la sua dichiarazione (paese di residenza, età minima confermata, regolamento accettato), le sue partecipazioni, le sue risposte, i suoi risultati e i suoi buoni.
• Il suo dispositivo, se attiva le notifiche: un identificativo di installazione, il token di notifica, la piattaforma, la lingua dell'applicazione, il fuso orario e la versione dell'applicazione.
• La sua posizione, se la autorizza: serve a calcolare una risposta e non viene mai conservata.
• La misura della schermata iniziale: quale tessera mostrava la sua schermata iniziale al momento di un timbro.
• Le sue segnalazioni: il negozio segnalato, il motivo e il suo commento.
• I negozi che ha nascosto: il loro elenco e la data, finché non li mostra di nuovo o il suo account viene eliminato.
• Le notifiche che le inviamo: il loro tipo, il loro stato e la loro data.
• Le sue richieste: una richiesta di cancellazione, una richiesta di copia dei suoi dati, un messaggio inviato dal modulo di contatto.
• Il sito: i registri tecnici del nostro fornitore di hosting, che contengono il suo indirizzo IP e l'orario della richiesta.
• Se fa parte del team di un negozio: il suo indirizzo email, il suo ruolo, il nome che il negozio dà alla sua postazione, la data della sua ultima scansione, e i timbri e i buoni che ha registrato.
• Se lei è un esercente e sottoscrive il piano senza contatto: il nome e l'indirizzo email di fatturazione, l'indirizzo di fatturazione, la partita IVA e l'esito della sua verifica, il nome del destinatario e l'indirizzo di consegna del kit, e lo stato dell'abbonamento e del kit. I dati della sua carta o del suo conto bancario vengono inseriti presso Stripe e non ci arrivano mai.

L'applicazione funziona senza account. Finché non accede, non abbiamo né il suo indirizzo né il suo nome: soltanto un dispositivo e le sue tessere. Lo spazio clienti del sito, invece, richiede un account.

• Tenere le sue tessere: mettere un timbro quando il negozio scansiona il suo codice o lei tocca la sua tessera senza contatto, contare e aprire una nuova tessera quando il premio è stato consegnato.
• Tenere il suo account: farle accedere, ritrovare le sue tessere dopo un cambio di telefono, rispondere ai suoi messaggi.
• Permettere al team di un negozio di mettere timbri e incassare buoni con Oktapus Pro, oppure di scansionare un codice dal browser, nello spazio esercenti del sito.
• Mostrarle i negozi partner intorno a lei e mettere in cima alla schermata iniziale la tessera del negozio in cui si trova, se autorizza la posizione.
• Organizzare il concorso: registrare la sua risposta, estrarre i vincitori tra le risposte giuste, emettere e incassare i buoni.
• Verificare, in cifre complessive, che la schermata iniziale mostri il negozio giusto.
• Inviarle le notifiche che ha accettato, e nessun'altra.
• Proporle Scoperta: segnalarle un negozio partner vicino in cui non ha ancora una tessera.
• Trattare le segnalazioni e sospendere un negozio che viola le nostre regole.
• Impedire gli abusi: limitare i tentativi, far valere un codice o una tessera senza contatto una sola volta, limitare i timbri messi in poco tempo e proteggere il programma di un esercente da chi lo svuoterebbe senza mai passare.
• Rispettare i nostri obblighi contabili quando un esercente paga un abbonamento.
• Per un esercente abbonato: incassare l'abbonamento, emettere le sue fatture, verificare la sua partita IVA e spedirgli il kit.

Quello che non facciamo: nessuna rivendita, nessuno scambio, nessuna pubblicità mirata, nessuna profilazione pubblicitaria e nessuna decisione automatizzata che produca effetti giuridici nei suoi confronti. Questo sito non porta alcuno strumento di misurazione del pubblico.

Ogni trattamento poggia su una base dell'articolo 6 del regolamento, ed ecco quale.

• L'esecuzione del contratto che ci lega, articolo 6.1.b: il suo account, le sue tessere, i suoi timbri, i suoi premi, l'accesso, l'assistenza, la copia dei suoi dati, la sua partecipazione al concorso secondo il suo regolamento, l'estrazione e il suo buono, e l'accesso di un membro del team a Oktapus Pro.
• Il suo consenso, articolo 6.1.a: le notifiche, Scoperta e la lettura della sua posizione, che autorizza lei stessa, nell'applicazione e poi nelle impostazioni del telefono. Lo presta su una schermata che spiega che cosa fa prima di chiedere qualsiasi cosa. Lo revoca per le notifiche e Scoperta da Profilo e poi Notifiche, e per la posizione nelle impostazioni del telefono. La revoca vale solo per il futuro e non toglie nulla alle sue tessere.
• Il nostro legittimo interesse, articolo 6.1.f: la prevenzione delle frodi e degli abusi, la sicurezza del servizio, i registri tecnici, la traccia che permette di verificare un'estrazione del concorso, la misura della schermata iniziale e il trattamento delle segnalazioni. L'interesse in gioco è semplice: che un esercente non veda il proprio programma svuotato da chi non è mai entrato, che il suo account non venga preso da un altro, che un'estrazione possa essere dimostrata onesta e che una funzione che indovina dove si trova non la inganni.
• Un obbligo di legge, articolo 6.1.c: la fatturazione e la conservazione dei documenti contabili, quando un esercente paga un abbonamento.
• L'esecuzione del contratto con un esercente abbonato, articolo 6.1.b: il pagamento dell'abbonamento, la verifica della partita IVA, le email di fatturazione e la spedizione del kit.

Rifiutare le notifiche, Scoperta o la posizione non cambia nulla delle sue tessere né dei suoi timbri.

Tre strade nell'applicazione Oktapus, che ci danno tutte la stessa cosa: un indirizzo email.

• Con Apple sceglie di condividere il suo indirizzo oppure l'indirizzo di inoltro che Apple crea per noi. In entrambi i casi riceviamo quell'indirizzo e nient'altro. Se toglie Oktapus dal suo account Apple, veniamo avvisati e il suo account viene cancellato.
• Con Google riceviamo il suo indirizzo e l'identificativo che Google ci fornisce per lei. Non chiediamo né i suoi contatti, né i suoi file, né la sua foto.
• Con un codice via email riceviamo soltanto l'indirizzo a cui lo ha fatto inviare. Non c'è alcuna password da ricordare, e quindi nessuna password da perdere.

Oktapus Pro, lo spazio esercenti e lo spazio clienti del sito offrono solo il codice via email. Un codice di accesso vive cinque minuti e smette di valere dopo tre tentativi. Il codice della pagina di cancellazione vive quindici minuti e smette di valere dopo cinque tentativi.

L'applicazione Oktapus non ha uno scanner e non usa la fotocamera del suo telefono. Un timbro si mette in due modi.

• Lei mostra il suo codice nella scheda Timbro e il negozio lo scansiona con Oktapus Pro, oppure dal browser di un telefono, nello spazio esercenti del sito. Questo codice è calcolato dal suo telefono a partire da una chiave propria del suo account, cambia ogni trenta secondi e si mostra anche senza rete. Designa il suo account e nient'altro: né il suo nome, né il suo indirizzo. Ogni codice vale una sola volta, e conserviamo per sette giorni la traccia dei codici già usati per rifiutare che vengano presentati di nuovo.
• Lei avvicina il telefono alla tessera senza contatto del negozio. La tessera risponde a una sfida che il nostro server estrae per quel gesto, e conserviamo quella risposta per un giorno perché non possa servire di nuovo.

Mentre il suo codice è sullo schermo, l'applicazione chiede regolarmente al nostro server se è appena stato messo un timbro, per mostrarglielo subito. Se un negozio rifiuta un timbro, conserviamo l'ultimo rifiuto, con la sua data e il negozio, perché il suo schermo possa dirle perché.

Senza l'applicazione, lo spazio clienti del sito mostra lo stesso codice. La pagina riceve la chiave dal nostro server a ogni apertura e la tiene in memoria finché resta aperta, senza salvarla nello spazio di archiviazione del suo browser: una volta chiusa la dimentica, e senza rete non mostra alcun codice. Come l'applicazione, chiede regolarmente al nostro server se è appena stato messo un timbro.

Oktapus Pro serve all'esercente e al suo team per mettere i timbri e incassare i buoni del concorso. Si accede con un codice a sei cifre ricevuto via email, sullo stesso account dello spazio esercenti del sito. Se l'indirizzo inserito non ha ancora un account, l'accesso ne crea uno. Un membro del team entra in un negozio con il codice che gli comunica il proprietario.

Per ogni membro del team trattiamo il suo indirizzo email, il suo ruolo nel negozio, il nome che il negozio dà alla sua postazione, per esempio «Bancone 2», la data della sua ultima scansione e, su ogni timbro o buono che registra, il fatto che l'ha registrato lui. Il registro del negozio mostra così chi ha fatto che cosa.

La fotocamera serve unicamente a leggere il codice di un cliente o di un buono. Nessuna immagine viene salvata né inviata: solo il testo del codice letto parte verso il nostro server. Quando il telefono del negozio non ha rete, i codici letti attendono su quel telefono e partono al ritorno della rete, e un codice letto più di ventiquattro ore prima non viene più accettato. Il lettore senza contatto del telefono serve ad attivare le tessere senza contatto del negozio.

Oktapus Pro non legge la posizione del telefono e non invia notifiche. Quando il team scansiona il suo codice, vede lo stato della sua tessera presso di loro, mai il suo nome, il suo indirizzo o gli altri negozi in cui ha una tessera.

Senza Oktapus Pro, anche lo spazio esercenti del sito può scansionare, dal browser di un telefono e con lo stesso account. La fotocamera serve lì soltanto a leggere il codice, una volta autorizzata nel browser: l'immagine resta sul telefono, solo il testo del codice letto parte verso il nostro server, e senza rete nessuna lettura viene conservata.

L'applicazione legge la sua posizione solo se lei la autorizza. Glielo propone una volta, all'avvio che segue il suo primo timbro, su una schermata che spiega a che cosa serve, e di nuovo dalla scheda Nei dintorni se l'aveva rifiutata. Senza di essa le sue tessere, i suoi timbri e la ricerca di un negozio per nome funzionano.

Se la autorizza, l'applicazione legge la sua posizione precisa una volta a ogni apertura, cioè all'avvio e quando la riporta in primo piano, e quando tocca il pulsante di localizzazione della scheda Nei dintorni. Non la segue mentre la usa. Questa posizione viene inviata al nostro server per tre domande: quale negozio partner si trova a poche decine di metri, per mettere la sua tessera in cima alla schermata iniziale; quali negozi partner si trovano intorno a lei, per la scheda Nei dintorni; e a che distanza si trova un negozio che cerca per nome.

La posizione viaggia nel corpo della richiesta, mai nel suo indirizzo. Serve a calcolare la risposta e poi sparisce: non viene scritta né nella nostra banca dati né nei nostri registri, e la risposta è contrassegnata perché nessun intermediario ne conservi una copia. Sul suo telefono resta in memoria finché l'applicazione è aperta e non viene salvata. Quello che conserviamo è un contatore delle ricerche fatte dal suo account nell'ora, che non contiene alcuna posizione e viene cancellato dopo tre giorni.

Scoperta resta spenta finché non la accende lei. Accesa, invia la sua posizione al nostro server, allo stesso modo e senza che venga conservata, e riceve in cambio al massimo diciannove negozi partner vicini in cui non ha ancora una tessera, con le loro coordinate. Questo elenco è conservato sul suo telefono, il cui sistema sorveglia quelle zone. Quando entra in una di esse, è il suo telefono a mostrare la notifica, e noi non ne siamo informati. Il nostro server riceve di nuovo la sua posizione solo quando l'elenco deve essere rinnovato.

Scoperta le chiede il permesso di localizzazione che le consente di continuare la sorveglianza ad applicazione chiusa: «Sempre» su iPhone, «Consenti sempre» su Android. Se lo concede solo durante l'uso dell'applicazione, o se la sua versione dell'applicazione non lo chiede, Scoperta funziona solo quando l'applicazione è aperta.

Spegne Scoperta da Profilo e poi Notifiche, il che cancella anche l'elenco conservato sul telefono, e il permesso di localizzazione nelle impostazioni del telefono.

Quando l'applicazione mette in cima alla schermata iniziale la tessera del negozio in cui pensa che lei si trovi, vogliamo sapere se ha visto giusto. A ogni timbro che il suo telefono chiede da sé, per esempio toccando la tessera senza contatto di un negozio, l'applicazione indica quale tessera mostrava in quel momento la schermata iniziale: quella di un negozio o la tessera generale. Lo registriamo con il negozio che ha messo il timbro e la data. Quando è il negozio a scansionare il suo codice, non viene registrato nulla del genere.

Non viene registrata alcuna posizione né alcuna distanza: due negozi bastano a rispondere. Queste righe servono unicamente a calcolare, in cifre complessive, quante volte la schermata iniziale ha mostrato il negozio giusto, mai a descrivere le sue abitudini. Si basano sul nostro legittimo interesse a verificare che una funzione che indovina non inganni chi la usa. Vengono cancellate dopo 180 giorni, e con il suo account se lo elimina prima.

Gli sfondi delle mappe sono forniti da OpenFreeMap, a partire dai dati di OpenStreetMap, con licenza ODbL. Mostrare una mappa invia una richiesta a quel fornitore, che vede quindi il suo indirizzo IP e la zona che sta guardando.

Quando un esercente salva l'indirizzo del suo negozio, lo trasformiamo in coordinate presso l'IGN per la Francia e presso Nominatim, servizio della fondazione OpenStreetMap, per il Belgio. Sono indirizzi di negozi, mai il suo.

Non inviamo nulla finché non ha accettato le notifiche, e nulla su un argomento che ha lasciato spento. Gli argomenti sono tre: le sue tessere (un premio che la aspetta o una tessera che sta per chiudersi), il concorso (una chiusura che si avvicina, il suo risultato o un buono che sta per scadere) e Scoperta.

Per recapitarle un messaggio registriamo il suo dispositivo, come spiega la sezione «Il suo dispositivo», e affidiamo il suo token al servizio di notifiche di Apple o di Google, che vede quel token e il contenuto del messaggio. Quel contenuto non dice mai più di quanto mostrerà lo schermo del suo telefono. Le notifiche di Scoperta fanno eccezione: le mostra il suo telefono stesso, senza passare da noi né da quei servizi.

Conserviamo per novanta giorni la traccia di ciò che è stato inviato, per non mandarle due volte la stessa cosa. Spegne tutto da Profilo e poi Notifiche, oppure dalle impostazioni del telefono.

Il concorso Oktapus è gratuito e riservato alle persone che hanno un account Oktapus, risiedono in uno dei paesi in cui è aperto (Belgio, Francia) e hanno almeno 18 anni: un dispositivo senza account non può partecipare. Gli esercenti partner e i membri del loro team non possono parteciparvi. Alla sua prima partecipazione, l'applicazione le chiede il paese di residenza, di confermare di avere l'età minima di quel paese e di accettare il regolamento, che lei legge nell'applicazione, scheda Concorso. Non chiediamo la sua data di nascita e non verifichiamo la sua età con un documento: conta la sua conferma, e una vincita ottenuta con una falsa dichiarazione è annullata.

Per farlo funzionare trattiamo quanto segue.

• La sua dichiarazione: il paese di residenza dichiarato, l'età minima che ha confermato e la data di quella conferma, la versione del regolamento accettata e la data di quell'accettazione. Viene riportata su ogni partecipazione, come prova di ciò che valeva quel giorno.
• La sua partecipazione: il concorso, la data, la risposta scelta e se era giusta, e, se l'ha lasciato per un altro, la data di quel cambio.
• Il suo risultato: vinto, perso, oppure escluso da una risposta sbagliata.
• I suoi buoni: il negozio dove si spende, il suo importo, la sua data di scadenza, il suo stato e, una volta incassato, la data e il membro del team che l'ha incassato.
• L'esclusione degli esercenti: al momento della sua partecipazione e dell'estrazione, verifichiamo se il suo account è titolare o membro del team di un negozio su Oktapus. Questa verifica legge gli accessi del suo account a Oktapus Pro e non registra nient'altro.

Per ogni concorso conserviamo anche il valore casuale usato per l'estrazione, il numero di partecipanti e il numero di risposte giuste, perché l'estrazione possa essere rifatta e verificata. Queste cifre non designano nessuno.

La partecipazione, la dichiarazione, l'estrazione e il buono si basano sull'esecuzione del regolamento che accetta giocando, articolo 6.1.b. La traccia dell'estrazione e l'esclusione delle partecipazioni fraudolente si basano sul nostro legittimo interesse, articolo 6.1.f. Le notifiche del concorso si basano sul suo consenso. Nessun elenco di vincitori viene pubblicato e il suo nome non viene mai mostrato. Se vince, il suo nome e l'iniziale del cognome, con la regione del concorso, sono comunicati a chiunque ne faccia richiesta scritta, come prevede il regolamento, sulla base del nostro legittimo interesse a dimostrare che i buoni annunciati sono stati davvero assegnati, articolo 6.1.f. Il negozio dove si spende il suo buono vede quel buono quando lo scansiona, non il suo nome né il suo indirizzo.

Le sue partecipazioni e i suoi risultati restano finché il suo account esiste e spariscono con esso. Un buono è valido un mese. Alla cancellazione del suo account, un buono non incassato viene eliminato. Un buono incassato resta nella contabilità del negozio, senza più designarla.

Se segnala un negozio, registriamo il negozio, il motivo scelto, il commento che aggiunge se c'è, la data, e il suo account oppure, se non ha un account, l'identificativo di installazione del suo telefono. Una persona del nostro team viene avvisata via email e legge la segnalazione.

Questi dati servono a trattare la segnalazione e a distinguere dieci persone da una sola che segnala dieci volte, sulla base del nostro legittimo interesse a rimuovere un contenuto illecito o ingannevole. La segnalazione resta nello storico del negozio interessato; quando il suo account viene cancellato, non la designa più.

Ogni installazione dell'applicazione crea un identificativo proprio e lo conserva sul telefono. Ci viene inviato solo se almeno una notifica è accesa e il suo telefono le autorizza, insieme al token di notifica, alla piattaforma, alla lingua dell'applicazione, al fuso orario e alla versione dell'applicazione. Il token serve a raggiungerla, la lingua a scriverle nella sua, il fuso orario a scriverle a un'ora ragionevole dove si trova, e l'identificativo a distinguere i suoi telefoni tra loro. Se segnala un negozio senza avere un account, l'identificativo accompagna anche la segnalazione.

Non è legato ad alcun identificativo pubblicitario e non viaggia verso alcun terzo; solo il token è affidato al servizio di notifiche. La registrazione del dispositivo viene cancellata quando spegne tutte le notifiche, quando si disconnette, quando chiede la cancellazione del suo account e quando il servizio di notifiche ci comunica che l'applicazione ha lasciato il dispositivo.

Se apre con la fotocamera del telefono il manifesto di un negozio, oppure avvicina il telefono alla sua tessera senza contatto, senza avere l'applicazione, arriva su una pagina di questo sito che le nomina il negozio prima di proporle di installare qualsiasi cosa.

Perché quel negozio la aspetti alla prima apertura dell'applicazione, creiamo un token monouso, valido quindici minuti, che designa un negozio e un gesto, mai una persona. Su Android viaggia nel link del negozio di applicazioni. Su iPhone viene copiato negli appunti, in mancanza di un'altra strada: l'applicazione lo legge una volta al primo avvio e poi non lo tocca più.

Un codice o una tessera senza contatto vale un timbro, una sola volta. Contiamo quindi i tentativi per account, per indirizzo email e per indirizzo IP, che rendiamo illeggibile prima di contarlo, limitiamo la frequenza delle pagine pubbliche e il numero di timbri che un cliente può ricevere dallo stesso negozio in dieci minuti, e conserviamo questi contatori per tre giorni.

Servono a rifiutare una richiesta di troppo. Non servono a costruire un profilo, e non sono usati per nient'altro.

Osserviamo anche l'uso di ogni carta (quando i suoi clienti vi hanno aderito, chi li ha iscritti, se tornano da un giorno all'altro) per capire se un negozio ha un'attività reale o se si tratta di una prova. Ciò si basa sul nostro legittimo interesse a conoscere l'uso reale del servizio, non utilizza alcun indirizzo IP e non serve ad altro.

Non vendiamo nulla e non condividiamo nulla a fini pubblicitari. Gli unici terzi che intervengono sono quelli che fanno funzionare il servizio, ciascuno per un compito preciso.

• Supabase, per la banca dati, ospitata nell'Unione europea.
• Vercel, per l'hosting del sito, dello spazio esercenti, dello spazio clienti e della nostra interfaccia applicativa, eseguiti nella regione di Francoforte.
• Resend, per l'invio delle email: codici di accesso, codice di cancellazione, copia dei suoi dati, avvisi di segnalazione al nostro team e, per un esercente abbonato, le email di fatturazione e del kit.
• Stripe (Stripe Payments Europe, Limited, in Irlanda), per il pagamento dell'abbonamento di un esercente, le sue fatture e il calcolo dell'IVA. Stripe riceve il nome, l'indirizzo email e l'indirizzo di fatturazione, l'indirizzo di consegna, la partita IVA e il metodo di pagamento. Per i propri obblighi, come la prevenzione delle frodi e i suoi doveri di legge, Stripe agisce come titolare del trattamento autonomo, secondo la propria informativa sulla privacy.
• Il sistema VIES della Commissione europea, che verifica la partita IVA di un esercente presso l'amministrazione fiscale del suo paese.
• Il corriere che consegna il kit, che riceve il nome del destinatario e l'indirizzo di consegna.
• Apple e Google, per l'accesso che sceglie e per la consegna delle notifiche.
• OpenFreeMap, l'IGN e Nominatim, per gli sfondi delle mappe e per gli indirizzi dei negozi.
• Sentry (Functional Software, Inc.), per i rapporti di errore dell'app, di Oktapus Pro, del sito e della nostra interfaccia applicativa, conservati nella sua regione di dati dell'Unione europea. Un rapporto descrive il guasto (la versione, il modello di dispositivo e il sistema, il punto del codice) e viene ripulito prima di partire: nessun nome, nessun indirizzo e-mail, nessuna posizione, nessun identificativo di account, nessun token di carta. Abbiamo chiesto a Sentry di non conservare l'indirizzo IP del dispositivo.

E gli esercenti, che sono l'oggetto stesso del servizio: un esercente non vede né il suo indirizzo email, né il suo nome, né gli altri negozi in cui ha una tessera. Quando il suo team scansiona il suo codice, in Oktapus Pro o sul sito, vede lo stato della sua tessera presso di lui. Il suo spazio gli mostra numeri: membri del suo programma, timbri del giorno e premi consegnati. Il negozio dove si spende un buono del concorso vede quel buono quando lo scansiona.

La banca dati resta nell'Unione europea, e i nostri server sono eseguiti a Francoforte.

Alcuni dei fornitori nominati sopra hanno sede negli Stati Uniti. I trasferimenti che ne derivano poggiano sulle clausole contrattuali tipo della Commissione europea, oppure sul quadro sulla protezione dei dati tra l'Unione europea e gli Stati Uniti quando il fornitore vi è certificato. Può chiederci copia di queste garanzie scrivendo a hello@fideloop.app.

• Il suo account, le sue tessere e le sue partecipazioni al concorso: finché il suo account esiste.
• Dopo una richiesta di cancellazione di un account: trenta giorni, poi la rimozione. Questa finestra esiste perché lei possa tornare indietro.
• Un dispositivo usato senza account, quando ne chiede la cancellazione: rimozione immediata, perché nessun accesso le permetterebbe di tornare.
• I suoi timbri, dopo la rimozione: non vengono cancellati ma staccati da lei. All'esercente resta un passaggio senza cliente, ridotto alla giornata, perché i suoi contatori e la sua contabilità non possono cambiare retroattivamente.
• I suoi buoni del concorso: un mese di validità. Alla rimozione, un buono non incassato viene eliminato, e un buono incassato resta presso il negozio senza più designarla.
• La sua posizione: mai conservata.
• La misura della schermata iniziale: 180 giorni.
• La traccia dei codici già usati: sette giorni. Quella delle risposte delle tessere senza contatto: un giorno.
• I codici di accesso: cinque minuti. I codici e i token della pagina di cancellazione, e i token di installazione: quindici minuti.
• I token di notifica: finché non spegne le notifiche o si disconnette, o finché il servizio di notifiche non ci dice che il dispositivo non esiste più.
• Lo storico delle notifiche inviate: novanta giorni.
• La traccia di una copia dei suoi dati, che serve a contare le copie del giorno: novanta giorni.
• I contatori contro gli abusi: tre giorni.
• Una segnalazione: nello storico del negozio interessato, senza più designarla dopo la rimozione del suo account.
• I registri tecnici dei nostri fornitori di hosting: qualche settimana, secondo la durata che ciascuno applica.
• I dati di fatturazione e di consegna di un esercente: finché il suo negozio esiste, poi trenta giorni dopo la sua chiusura. Restano in seguito l'identificativo cliente presso Stripe, il paese e la partita IVA, che collegano le fatture al negozio.
• I documenti contabili di un esercente a pagamento: sette anni, come impone la legge belga.

In qualsiasi momento può accedere ai suoi dati, farli rettificare, chiederne la cancellazione, chiederne la limitazione, opporsi a un trattamento fondato sul nostro legittimo interesse, revocare un consenso che ha prestato e ricevere una copia dei suoi dati in un formato leggibile da una macchina.

Due di questi diritti si esercitano senza scriverci: la copia dei suoi dati parte dall'applicazione, al massimo tre volte al giorno, e la cancellazione si chiede dall'applicazione, o dalla pagina prevista a questo scopo su questo sito, anche se non ha l'applicazione.

Per tutto il resto scriva a hello@fideloop.app. Rispondiamo entro un mese, prorogabile di due mesi per una richiesta complessa, nel qual caso glielo diciamo prima della fine del primo.

Se la nostra risposta non la soddisfa, ha il diritto di proporre reclamo a un'autorità di protezione dei dati: quella del suo paese di residenza, quella del suo luogo di lavoro, o quella del luogo in cui ritiene che i suoi diritti siano stati violati.

• In Belgio: Autorità per la protezione dei dati, rue de la Presse 35, 1000 Bruxelles, contact@apd-gba.be, www.autoriteprotectiondonnees.be.
• In Francia: Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

Può anche rivolgersi direttamente al tribunale competente.

Dall'applicazione: Profilo, poi Eliminare il mio account. Senza l'applicazione: la pagina di cancellazione di questo sito, che le invia un codice a sei cifre per verificare che l'indirizzo sia il suo.

Per un account la rimozione è programmata a trenta giorni. Dalla richiesta, i suoi dispositivi vengono disconnessi, i suoi token di notifica e le notifiche in attesa vengono cancellati, e Apple viene avvisata se accedeva con Apple. Può tornare indietro fino all'ultimo giorno. Passato quel termine, le sue tessere, le sue partecipazioni al concorso, i suoi buoni non incassati, le sue impostazioni, la misura della schermata iniziale e il suo indirizzo spariscono. Se faceva parte del team di un negozio, il suo accesso viene revocato e i timbri che aveva messo non la designano più.

Se usa l'applicazione senza account, la cancellazione è immediata: nessun accesso le permetterebbe di tornare durante un periodo di attesa.

Se è l'ultimo proprietario di un negozio, la stessa pagina le chiede che cosa ne sarà di quel negozio. Finché resta aperto, la sua parte cliente viene cancellata ma il suo account rimane, perché il negozio conservi un proprietario. Chiuderlo è immediato e senza ritorno: lì non si mette più alcun timbro, il suo abbonamento termina e, trenta giorni dopo, le tessere in corso dei suoi clienti vengono archiviate, il team perde l'accesso, e la descrizione e l'indirizzo del negozio vengono cancellati.

Il sito OKTAPUS utilizza cookie strettamente necessari, un cookie che ricorda la lingua e uno che registra la sua risposta al banner di consenso, così da non chiederglielo di nuovo. Nessun cookie pubblicitario viene installato e nessuno viene condiviso con terzi. Se accede allo spazio clienti o allo spazio esercenti, un cookie di accesso strettamente necessario la mantiene collegata fino a un anno. Nessuno script della pagina può leggerlo, e viene cancellato quando si disconnette. Nello scanner dello spazio esercenti, la sua scelta di suono attivo o disattivato viene ricordata nella memoria del browser di quel telefono. Non contiene nient'altro e non ci viene mai inviata.

Contiamo le visite di questo sito con uno strumento nostro, ospitato in Europa e usato solo da noi. Non installa alcun cookie e non legge nulla sul suo dispositivo, ed è per questo che non le viene mostrato alcun banner. Registra la pagina consultata, il sito di provenienza ridotto al nome di dominio, il tempo in cui la pagina è rimasta visibile, il suo paese, il suo browser e il tipo di dispositivo. Il suo indirizzo IP è usato una sola volta sul nostro server per ricavarne il paese e un'impronta valida per la giornata: non viene conservato da nessuna parte, e quell'impronta non è ricalcolabile il giorno dopo. Contiamo anche quanti visitatori accettano o rifiutano il banner di consenso, come semplice totale: nulla in questo conteggio permette di riconoscerla.

Se accetta il banner, conserviamo inoltre un identificatore casuale sul suo dispositivo, per un massimo di tredici mesi. Ci permette di vedere che lo stesso browser è tornato, su quale pagina è arrivato e quali azioni ha compiuto su questo sito. Non contiene nome né indirizzo e-mail, e non viene mai incrociato con la misurazione del traffico descritta sopra, che resta anonima. C'è una sola eccezione: se apre un negozio o aderisce alla carta di un negozio da questo sito, la sua visita viene collegata a quel negozio. Per un commerciante, è allora collegata all'account del suo negozio, il che ci dice come ci ha trovati. Per un cliente, ci dice soltanto se la carta di quel negozio è usata da persone che tornano, senza nominarla. Queste informazioni restano nel team Oktapus e non sono mai trasmesse al commerciante. Può revocare il consenso in qualsiasi momento dal link Cookie in fondo a ogni pagina: l'identificatore viene cancellato subito e non viene più registrato nulla.

Altis Koten SRL, Traverse d'Esope 6, 1348 Ottignies-Louvain-la-Neuve, Belgique. Per email: hello@fideloop.app.

Questa pagina può essere modificata. Quando la modifica è importante, la avvisiamo nell'applicazione e per email prima che abbia effetto, e la data in cima alla pagina cambia a ogni revisione.