Informativa sulla Privacy di PIQOD

Ultimo aggiornamento: 13 aprile 2026 Versione: 1.0.0

La presente informativa descrive come PIQOD raccoglie, utilizza, conserva e condivide i dati personali degli utenti del sito piqod.it e dei servizi ad esso collegati (di seguito, il "Servizio"). La redigiamo in conformità al Regolamento UE 2016/679 (GDPR), al Codice Privacy italiano e alle altre normative europee applicabili, con linguaggio il più chiaro possibile.

Se dopo averla letta hai dubbi o vuoi esercitare i tuoi diritti, scrivi a privacy@piqod.it.

1. Chi siamo — il Titolare del trattamento

Il Titolare del trattamento dei dati personali raccolti attraverso il Servizio è:

Denominazione: PIQOD di Sorrentino Lucio (impresa individuale)
Legale rappresentante: Sorrentino Lucio
Sede legale: Via Somma n. 10, 80034 Marigliano (NA), Italia
Partita IVA / Codice Fiscale: 09825941215
Email di contatto privacy: privacy@piqod.it
Email supporto generale: support@piqod.it
PEC: {{LEGAL_ENTITY_PEC}} (da compilare quando attivata)

PIQOD non è attualmente obbligata a nominare un Responsabile della protezione dei dati (DPO) ai sensi dell'art. 37 GDPR, ma abbiamo designato un Referente Privacy interno che coordina ogni richiesta in materia di protezione dei dati, raggiungibile all'indirizzo privacy@piqod.it.

2. Cosa fa PIQOD — chiarimento operativo fondamentale

PIQOD è un metasearch di esperienze di viaggio. Aggreghiamo e mostriamo tour, attrazioni, biglietti e attività forniti da partner commerciali terzi (al momento Viator e Tiqets, con ulteriori partner in fase di integrazione), operando come un aggregatore comparativo.

Cosa facciamo:

Mostriamo l'offerta commerciale dei partner, con descrizioni, immagini, prezzi e disponibilità
Offriamo un motore di ricerca, filtri, ranking e personalizzazione
Reindirizziamo l'utente al sito del partner commerciale per completare la prenotazione

Cosa NON facciamo:

Non vendiamo direttamente alcuna esperienza di viaggio
Non riceviamo pagamenti degli utenti finali
Non gestiamo la prenotazione, la conferma, la cancellazione o il rimborso
Non trattiamo dati di carta di credito o di pagamento dell'utente (eccetto, in futuro, un sistema di wallet interno eventuale, non attualmente attivo)

La transazione commerciale avviene integralmente sul sito del partner (Viator, Tiqets, ecc.), che è il merchant of record e ha la propria informativa privacy indipendente. PIQOD percepisce una commissione di affiliazione quando un click genera una conversione confermata dal partner.

Questa distinzione è rilevante per comprendere chi tratta quali dati e con quale base giuridica.

3. Quali dati raccogliamo e come

Distinguiamo tra dati necessari al funzionamento del Servizio e dati opzionali che l'utente può scegliere di condividere.

3.1 Dati forniti direttamente dall'utente

Categoria	Esempi	Quando li raccogliamo
Dati di registrazione	Email, nome, password (in forma hashata), lingua preferita, valuta preferita, paese	Al momento della registrazione di un account
Dati di profilo	Avatar (immagine), preferenze travel, country code	Quando l'utente completa o modifica il profilo
Contenuti generati (UGC)	Foto del servizio PIQOD Live, testo di didascalia, tag location, tag utenti	Quando l'utente pubblica un "Live"
Wishlist & promemoria	Esperienze salvate, data e ora di promemoria email	Quando l'utente salva un'esperienza o programma un promemoria
Richieste al supporto	Messaggi di contatto, segnalazioni, richieste DSAR	Quando l'utente comunica con noi
Newsletter	Email, preferenze di invio	Quando l'utente si iscrive volontariamente

3.2 Dati raccolti automaticamente durante la navigazione

Categoria	Esempi	Fonte tecnica
Dati tecnici di connessione	Indirizzo IP, hash di user-agent, lingua del browser, fuso orario	Headers HTTP
Dati di navigazione	Pagine visitate, query di ricerca effettuate, filtri applicati, click su esperienze, tempi di permanenza	Server log + tracking JS
Identificatori del dispositivo	Hash pseudonimo di device fingerprint, session cookie ID	Generati lato server
Dati di geolocalizzazione approssimata	Città, regione, paese stimati dall'IP	MaxMind GeoLite2 (database locale, nessuna chiamata a terzi)
Dati di dispositivo	Tipo di dispositivo (mobile/desktop), sistema operativo, browser	User-agent parsing

3.3 Dati raccolti con permessi espressi del browser (opt-in)

Per alcune funzionalità avanzate, chiediamo permessi espliciti tramite le API del browser. L'utente può sempre negare o revocare questi permessi dalle impostazioni del browser o del dispositivo.

Permesso	Quando lo chiediamo	Cosa raccogliamo
Geolocalizzazione precisa	Quando l'utente decide di pubblicare un Live	Coordinate GPS (lat/lng) con accuratezza, esclusivamente al momento dell'upload
Fotocamera	Quando l'utente sceglie di scattare una foto per un Live	Frame di cattura (il flusso video non viene memorizzato)
Galleria	Quando l'utente carica una foto esistente	La foto selezionata + eventuali metadati EXIF (inclusi GPS se presenti)

Non raccogliamo mai: dati biometrici, dati sanitari, dati sensibili ai sensi dell'art. 9 GDPR, dati di minori di 14 anni (in Italia) o 16 anni (in altri Stati UE, salvo consenso dei genitori).

3.4 Cookie e tecnologie simili

L'uso dei cookie è descritto in dettaglio nella nostra Cookie Policy. In sintesi, raggruppiamo i cookie in sei categorie:

Essenziali (sempre attivi, nessun consenso richiesto)
Funzionali (lingua, valuta, tema, dismissible senza consenso in UE)
Analitici anonimi (Google Analytics 4 con IP anonimizzazione e Consent Mode v2)
Comportamentali (tracking di navigazione per personalizzazione e apprendimento)
Pubblicitari e di profiling (attualmente non utilizzati, riservati per futuri partner pubblicitari)
Condivisione dati aggregati con terzi commerciali (vedi sezione 7)

L'utente può modificare le proprie preferenze in qualsiasi momento dal Centro Preferenze accessibile dalla pagina Cookie Policy o dal proprio profilo in Privacy Dashboard.

4. Finalità del trattamento e basi giuridiche

Ogni operazione di trattamento dei tuoi dati ha una finalità e una base giuridica specifica ai sensi dell'art. 6 GDPR. Te le elenchiamo tutte, senza omissioni.

4.1 Erogazione del Servizio (base: esecuzione contratto, art. 6(1)(b) GDPR)

Creazione e gestione dell'account utente
Autenticazione e gestione delle sessioni
Fornitura delle funzionalità del sito (ricerca, filtri, wishlist, dettaglio esperienze, redirect ai partner)
Gestione dei promemoria wishlist via email (quando attivati dall'utente)
Supporto utenti e gestione richieste

4.2 Esperienza personalizzata (base: legittimo interesse, art. 6(1)(f) GDPR)

Memorizzazione delle preferenze (lingua, valuta, tema)
Ranking personalizzato delle esperienze di ricerca (quando l'utente è loggato)
Suggerimenti di destinazioni basati su attività di navigazione

Bilanciamento di interessi: abbiamo valutato che il nostro interesse a offrire un'esperienza rilevante sia proporzionato rispetto all'impatto sulla privacy dell'utente, perché utilizziamo esclusivamente dati di navigazione sulla nostra piattaforma, mai dati acquisiti da fonti esterne, e l'utente può opporsi in qualsiasi momento.

4.3 Sicurezza del sito e prevenzione abusi (base: legittimo interesse, art. 6(1)(f) GDPR)

Rilevamento di attività sospette, bot scraping, tentativi di credential stuffing
Blocco di indirizzi IP coinvolti in abusi
Moderazione dei contenuti generati dagli utenti tramite analisi automatica (ML locale basato su NSFW.js, nessun dato inviato a terzi per questa finalità)

4.4 PIQOD Live / Stories — community pubblica e moderazione contenuti (base: esecuzione contratto + consenso esplicito + obbligo di legge DSA, art. 6(1)(a)(b)(c) GDPR)

PIQOD ospita una community di viaggiatori: il servizio Stories permette agli utenti registrati di pubblicare foto di esperienze di viaggio (luoghi, hotel, attrazioni, paesaggi, food) che vengono rese pubblicamente visibili sul sito.

Visibilità pubblica (informed consent)

Al momento della pubblicazione di ogni Storia, l'utente viene informato in modo chiaro e inequivocabile — sia nello step informativo iniziale del flusso di pubblicazione (Prima di iniziare), sia nella checkbox di consenso esplicito allo step finale — che:

La Storia sarà visibile pubblicamente a chiunque visiti PIQOD, inclusi utenti non registrati che non hanno un account PIQOD
La visibilità dura 24 ore + 24 ore di grace period, dopo le quali la Storia viene eliminata automaticamente dai server e dal CDN
L'utente può cancellare la Storia in qualsiasi momento prima della scadenza (diritto all'oblio GDPR art. 17)
La pubblicazione richiede consenso esplicito (checkbox GDPR art. 7) che l'utente dichiara al momento del publish
Una menzione riassuntiva della natura pubblica della community è presente anche nel banner cookie/privacy mostrato al primo accesso al sito, per informare i nuovi visitatori
Tag posizione volontario: l'utente può scegliere di aggiungere un tag di posizione alla propria Storia (via GPS automatico del dispositivo o ricerca manuale di un luogo). La posizione taggata viene mostrata come pin sulla mappa interattiva pubblica nella home page di PIQOD, visibile a tutti i visitatori per la durata della Storia (24 ore). Il tag posizione è interamente opzionale — l'utente può pubblicare senza alcun tag geografico. Se taggata, la posizione è approssimativa a livello di luogo/quartiere, non coordinate esatte della persona.

Questo modello è ispirato al pattern delle principali piattaforme UGC di viaggio (Instagram, TikTok, Tripadvisor) e serve a creare un differenziale di community rispetto ai competitor metasearch tradizionali: PIQOD non vende solo ricerca hotel/esperienze ma costruisce un catalogo vivo di esperienze autentiche condivise dagli utenti.

Moderazione automatica

Ogni foto caricata viene sottoposta ad analisi automatica via classificatore AI locale (NudeNet ONNX open source, eseguito su server PIQOD, zero trasferimento esterno) per verificare la conformità alle linee guida della community e alle norme di legge (Digital Services Act UE 2022/2065). I contenuti giudicati in violazione (contenuti sessualmente espliciti, violenti, illegali, in violazione di copyright, spam, abuse) vengono rifiutati al momento dell'upload o rimossi dopo pubblicazione.

EXIF stripping obbligatorio

Prima del salvataggio, ogni metadato EXIF contenente informazioni personali non necessarie (in particolare coordinate GPS, datetime esatto, device fingerprint) viene rimosso dalla foto. Questo previene accidental disclosure della location precisa dell'utente.

Limiti di pubblicazione

Rate limit: massimo 5 Stories/ora/utente (anti-spam, anti-abuse)
Età minima: pubblicazione riservata a utenti ≥16 anni (GDPR art. 8, Italia art. 2-quinquies Codice Privacy). Per utenti <16 anni è richiesto consenso parentale verificato
Geo trust score: il browser deve consentire la lettura della posizione per verificare la coerenza con la città dichiarata. Stories con trust score basso possono essere rifiutate o marcate per revisione
Durata massima: 24 ore, non prolungabile

DSA compliance

L'utente ha sempre diritto a:

Richiedere il ripristino di una Storia rimossa contattando privacy@piqod.it o support@piqod.it
Ricevere notifica della rimozione con motivazione (SoR — Statement of Reasons DSA art. 17)
Segnalare contenuti in violazione pubblicati da altri utenti tramite il flusso di reclamo interno (bottone "Segnala" nel viewer Stories)
Ricevere riscontro entro 24 ore lavorative per segnalazioni urgenti (pericolo imminente, contenuto illegale)

Diritti specifici Stories

Accesso (art. 15): l'utente può esportare tutte le sue Stories attive via /profilo/privacy export JSON
Rettifica (art. 16): caption può essere modificata finché la Storia è attiva
Cancellazione (art. 17): bottone delete immediato dalla Storia (cancellazione cascade da DB, cache, CDN entro 24h)
Portabilità (art. 20): export JSON include tutte le Stories + metadata associati
Opposizione (art. 21): l'utente può disattivare l'uso delle sue Stories per training di modelli interni tramite preferenze privacy

4.5 Analisi e miglioramento del Servizio (base: consenso, art. 6(1)(a) GDPR)

Quando l'utente acconsente tramite il centro cookie alla categoria "Analitici anonimi":

Utilizziamo Google Analytics 4 con IP anonymizzazione e Consent Mode v2
I dati raccolti sono aggregati e pseudonimizzati, non identificano direttamente l'utente
Il trasferimento di dati a Google LLC (Stati Uniti) avviene sulla base delle Standard Contractual Clauses (SCC) della Commissione UE

4.6 Personalizzazione comportamentale e apprendimento automatico (base: consenso, art. 6(1)(a) GDPR)

Quando l'utente acconsente alla categoria "Comportamentali":

Raccogliamo dati dettagliati su sessioni di navigazione, click, tempi di permanenza, query di ricerca
Questi dati vengono utilizzati per addestrare modelli di raccomandazione e ranking interni
I dati sono pseudonimizzati tramite hash dell'ID sessione e non collegati all'identità personale diretta dell'utente nei modelli finali

L'utente può disattivare questa raccolta in qualsiasi momento dal centro cookie, con effetto immediato. I dati raccolti prima del revoca rimangono nei modelli già addestrati, che vengono riaggiornati periodicamente secondo il ciclo di retraining.

4.7 Condivisione di dati aggregati anonimi con terzi (base: consenso, art. 6(1)(a) GDPR)

Quando l'utente acconsente alla categoria "Condivisione dati aggregati con terzi commerciali":

I suoi dati di comportamento possono contribuire a dataset anonimizzati aggregati che PIQOD potrebbe in futuro condividere o licenziare a terzi commerciali (agenzie di marketing, tour operator, ricercatori di mercato)
I dati condivisi non permettono in alcun modo di risalire all'identità dell'utente: sono aggregati per gruppi minimi di almeno 100 utenti e sottoposti a tecniche di k-anonymity e differential privacy noise injection
Nessun dato personale identificabile (PII) viene mai ceduto a terzi: non email, non IP, non user ID
Esempio di dato aggregato vendibile: "Nel mese di marzo, il 43% delle ricerche per Roma proveniva da dispositivi mobile, con una fascia di prezzo modale di €25-50"
Esempio di dato NON vendibile (e mai condiviso): "Mario Rossi ha cercato Roma il 14 marzo alle 14:32 e ha cliccato sull'esperienza X"

Stato attuale (aprile 2026): al momento della pubblicazione di questa informativa, PIQOD sta accumulando dati ma non ha ancora attivato la vendita o la condivisione con terzi. L'utente che nega il consenso garantisce che i suoi dati comportamentali non confluiscano in alcun futuro dataset commerciale.

Registro delle condivisioni: terremo un registro interno di ogni futura condivisione di dataset aggregati, disponibile su richiesta per consultazione tramite la procedura DSAR (sezione 8).

4.8 Obblighi di legge (base: obbligo legale, art. 6(1)(c) GDPR)

Conservazione per finalità fiscali, contabili, antiriciclaggio
Risposta a richieste dell'autorità giudiziaria
Adempimenti DSA per rimozione contenuti illegali

4.9 Immagine profilo e moderazione AI locale (base: esecuzione contratto + legittimo interesse, art. 6(1)(b)(f) GDPR)

Quando l'utente carica un'immagine profilo (avatar) o una foto per una Storia PIQOD, il Servizio applica la seguente pipeline di privacy prima di salvare o rendere accessibile l'immagine:

Rimozione metadati EXIF sensibili — ogni metadato incorporato nell'immagine che contiene informazioni personali non necessarie alla finalità (in particolare coordinate GPS, data/ora di scatto, marca/modello del dispositivo, identificatori hardware del sensore) viene eliminato prima del salvataggio. Il file finale contiene solo i pixel e la risoluzione.
Moderazione automatica con AI locale — l'immagine viene analizzata da un modello di classificazione open source (NudeNet ONNX, eseguito in locale su server PIQOD, basato su rete neurale convoluzionale pre-addestrata per il rilevamento di contenuti sessualmente espliciti). Nessun frame dell'immagine viene trasmesso a servizi cloud di terze parti. L'analisi produce uno score di probabilità che viene confrontato con una soglia di sicurezza:
- Score inferiore alla soglia safe → immagine accettata
- Score intermedio flagged → immagine accettata ma segnata per revisione umana (solo per Stories pubbliche)
- Score superiore alla soglia unsafe → immagine rifiutata automaticamente, l'upload fallisce e l'utente riceve un messaggio di errore generico
Storage post-moderazione — solo le immagini approvate vengono caricate su Cloudinary (sotto-processore, trasferimento protetto da SCC) per la distribuzione CDN ottimizzata. L'URL viene salvato nel profilo utente. L'immagine originale non passata dalla moderazione non viene mai persistita — il buffer in memoria viene scartato al termine dell'analisi.
Retention — l'immagine profilo resta attiva finché l'utente non la cambia o la cancella. Al momento della cancellazione (manuale dall'utente o a seguito di richiesta art. 17), l'URL Cloudinary viene revocato e il file asset cancellato dal CDN entro 24 ore.
Decisione automatizzata (art. 22 GDPR) — il rifiuto automatico dell'upload per score unsafe rientra nell'ambito delle decisioni automatizzate. L'effetto sull'utente è limitato all'impossibilità di usare quella specifica immagine. L'utente può sempre:
- Caricare un'immagine diversa
- Richiedere intervento umano contattando privacy@piqod.it per una revisione della decisione
- Esercitare il diritto di opposizione art. 21 (vedi sezione 8.6)

Fornitori coinvolti in questa pipeline: nessun servizio AI di terze parti. Solo Cloudinary come storage CDN post-moderazione (sotto-processore elencato nella sezione 5.1).

5. A chi comunichiamo i tuoi dati

PIQOD non vende mai dati personali identificabili. I tuoi dati vengono però inevitabilmente elaborati da fornitori tecnici ("Responsabili del trattamento" ai sensi dell'art. 28 GDPR), ciascuno legato a PIQOD da un Data Processing Agreement (DPA).

5.1 Elenco dei Responsabili del trattamento

Fornitore	Ruolo	Paese	Trasferimento extra-UE
Cloudflare, Inc.	CDN, hosting edge (Workers, R2, KV), protezione DDoS, Access	USA (HQ), nodi mondiali	Sì, con SCC + Data Processing Addendum
OVH SAS	Email transazionale (SMTP), hosting backend	Francia (UE)	No
Cloudinary Ltd.	Trasformazioni immagini, thumbnail	Israele / USA	Sì, con SCC
MongoDB, Inc.	(se in futuro MongoDB Atlas)	USA / UE	Sì, con SCC
Google LLC	Google Analytics 4, Google OAuth, Google Search Console	USA	Sì, con SCC + adeguatezza parziale
Sentry.io (Functional Software, Inc.)	Error tracking backend	Germania (UE)	No
Grafana Labs	Observability managed (Tempo, Loki, Mimir)	USA / UE	Sì, con SCC

L'elenco aggiornato è disponibile nella pagina dedicata Sottoprocessori (in fase di redazione) e viene aggiornato entro 30 giorni da ogni modifica sostanziale.

5.2 Partner commerciali (provider esperienze travel)

I partner Viator, Tiqets (e futuri) ricevono dati solo in fase di click-out, ovvero quando l'utente decide di proseguire la prenotazione sul loro sito. In quel momento, PIQOD comunica al partner solo parametri di affiliazione (pixel di conversione, identificativo di sessione generico, URL di provenienza), non dati personali dell'utente.

Una volta che l'utente interagisce con il sito del partner, è esclusivamente la politica privacy del partner a regolare il trattamento dei suoi dati (il partner diventa Titolare autonomo).

5.3 Autorità pubbliche

Potremmo essere tenuti a comunicare dati a autorità giudiziarie, forze dell'ordine o autorità di vigilanza in presenza di richieste formali legittime, ai sensi di leggi applicabili in materia penale, fiscale, amministrativa o di sicurezza pubblica.

6. Trasferimenti internazionali di dati

Alcuni dei nostri fornitori sono situati fuori dallo Spazio Economico Europeo (SEE), in particolare negli Stati Uniti. Per questi trasferimenti, adottiamo tutte le garanzie previste dal Capo V del GDPR:

Standard Contractual Clauses (SCC) approvate dalla Commissione Europea (decisione 2021/914)
Data Processing Addendum (DPA) firmati con ciascun fornitore extra-UE
Valutazioni di impatto sul trasferimento (TIA) per i fornitori USA alla luce della sentenza Schrems II
Misure supplementari quando necessario (crittografia end-to-end, pseudonimizzazione, minimizzazione)

L'utente può richiedere copia delle SCC rilevanti scrivendo a privacy@piqod.it.

7. Quanto tempo conserviamo i tuoi dati

Seguiamo il principio di limitazione della conservazione (art. 5(1)(e) GDPR): i dati vengono conservati solo per il tempo strettamente necessario alle finalità per cui sono stati raccolti.

Categoria dati	Periodo di conservazione
Account utente attivo	Finché l'account è attivo + 30 giorni di grace period dopo la richiesta di cancellazione
Dati di navigazione anonimizzati	Fino a 26 mesi (allineato al default Google Analytics)
Log server tecnici	90 giorni, poi anonimizzati o cancellati
Email transazionali (log SMTP)	12 mesi
Contenuti PIQOD Live	24 ore dalla pubblicazione, poi cancellati in modo irreversibile da database e storage
Backup database	30 giorni su sistemi off-site, ciclati
Audit log amministrativo	24 mesi
Dati fiscali/contabili	10 anni (obbligo di legge)
Log di gestione reclami DSA	6 mesi
Record di consenso cookie	Fino a revoca o cancellazione account

Alla scadenza dei termini, i dati vengono cancellati in modo sicuro o anonimizzati in forma irreversibile (in modo che non possano più essere ricondotti a un individuo).

8. I tuoi diritti come interessato

Ai sensi degli artt. 15-22 GDPR, hai il diritto di esercitare le seguenti facoltà sui tuoi dati personali, senza alcun costo e in qualsiasi momento:

8.1 Diritto di accesso (art. 15)

Puoi ottenere conferma che stiamo trattando dati che ti riguardano e riceverne una copia in formato strutturato, comunemente usato e leggibile da dispositivo automatico (JSON).

Dal tuo profilo → Privacy Dashboard puoi scaricare in autonomia un archivio ZIP completo dei tuoi dati.

8.2 Diritto di rettifica (art. 16)

Puoi correggere dati inesatti o integrare dati incompleti, direttamente dal tuo profilo utente o scrivendoci.

8.3 Diritto alla cancellazione ("diritto all'oblio", art. 17)

Puoi richiedere la cancellazione dei tuoi dati, salvo che non sussistano obblighi di legge contrari. La richiesta viene evasa entro 30 giorni dalla ricezione.

Cancellazione di un PIQOD Live: puoi cancellare una tua storia in qualsiasi momento, con effetto immediato, senza attendere la scadenza delle 24 ore. Un click dal tuo profilo.

Cancellazione di un tag: se sei stato taggato in una storia altrui e non vuoi apparire, puoi richiedere rimozione del tag dalla storia tramite un pulsante dedicato o via email. Evadremo la richiesta entro 72 ore.

8.4 Diritto di limitazione (art. 18)

Puoi richiedere la sospensione temporanea del trattamento dei tuoi dati in attesa di verifiche.

8.5 Diritto alla portabilità (art. 20)

Puoi richiedere i tuoi dati in un formato strutturato, comunemente usato e leggibile, per trasferirli a un altro titolare.

8.6 Diritto di opposizione (art. 21)

Puoi opporti al trattamento basato su legittimo interesse (sezione 4.2 e 4.3) e al trattamento per finalità di profilazione.

8.7 Diritto a non essere sottoposto a decisioni automatizzate (art. 22)

Il Servizio utilizza algoritmi automatizzati per ranking e moderazione, ma nessuno di questi produce effetti giuridici significativi sull'utente. In ogni caso, l'utente può richiedere intervento umano contattandoci.

8.8 Come esercitare i diritti

Via Privacy Dashboard (più rapido, self-service per accesso, esportazione, cancellazione, gestione consensi)
Via email: privacy@piqod.it (specificando la richiesta e fornendo prova di identità se necessario)
Via PEC: {{LEGAL_ENTITY_PEC}}

Il nostro team risponde entro 30 giorni dalla ricezione della richiesta completa (prorogabile di ulteriori 60 giorni in caso di richieste particolarmente complesse, previa comunicazione).

8.9 Diritto di reclamo

Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai il diritto di proporre reclamo all'autorità di controllo competente:

Garante per la Protezione dei Dati Personali (Italia): https://www.garanteprivacy.it
Autorità di controllo dello Stato UE di residenza abituale, luogo di lavoro o del presunto titolare

9. Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate ai rischi, tra cui:

Tecniche:

Crittografia in transito (TLS 1.3) su tutte le connessioni
Crittografia at-rest per database e storage (AES-256)
Hashing delle password con algoritmi moderni (bcrypt/argon2)
Segregazione di rete tra componenti applicativi (edge, backend, database)
Autenticazione a due fattori (2FA) obbligatoria per gli accessi amministrativi
Rotazione periodica delle chiavi crittografiche e dei secrets
Moderazione contenuti tramite ML locale (nessun trasferimento a terzi per questa finalità)
Rate limiting, firewall applicativo (WAF) e protezione DDoS
Audit log di tutte le operazioni amministrative con retention

Organizzative:

Formazione periodica del personale
Policy di accesso basate sul principio del minimo privilegio (RBAC)
Code of conduct interno per la gestione dei dati
Procedure di incident response e notifica al Garante entro 72 ore in caso di violazione

In caso di data breach che comporti rischi per i diritti e le libertà degli interessati, PIQOD notificherà il Garante entro 72 ore e informerà gli utenti interessati secondo quanto previsto dagli artt. 33-34 GDPR.

10. Minori

Il Servizio PIQOD è rivolto a persone di età non inferiore a 14 anni (in Italia, secondo il D.Lgs. 101/2018) e a 16 anni nei restanti Stati membri UE salvo consenso espresso di chi esercita la responsabilità genitoriale.

Non raccogliamo intenzionalmente dati di minori sotto tale età. Se scopriamo di averlo fatto, cancelliamo i dati il più rapidamente possibile. I genitori o tutori di minori possono segnalare la presenza di un account di un minore scrivendo a privacy@piqod.it per richiederne la cancellazione.

Se un utente carica un Live in cui compaiono minori riconoscibili, PIQOD si riserva il diritto di rimuovere il contenuto anche in assenza di segnalazione, per proteggere i minori rappresentati.

11. Contenuti generati dagli utenti (UGC) — regole specifiche per PIQOD Live

Il servizio PIQOD Live permette agli utenti registrati di pubblicare contenuti fotografici (fino a 2 foto per "Live") visibili ad altri utenti registrati per 24 ore.

11.1 Licenza d'uso

Pubblicando un Live, l'utente mantiene la proprietà del contenuto ma concede a PIQOD una licenza non esclusiva, gratuita, mondiale di utilizzarlo esclusivamente per finalità di erogazione del Servizio. Questa licenza termina automaticamente quando il Live scade o viene cancellato dall'utente.

PIQOD non utilizzerà i contenuti UGC per finalità pubblicitarie esterne, vendita a terzi, o addestramento di modelli AI generativi senza ulteriore consenso esplicito.

11.2 Contenuti vietati

Sono vietati e saranno rimossi contenuti che:

Contengono nudità, atti sessuali o contenuti sessualmente espliciti
Raffigurano violenza, lesioni, crudeltà verso animali
Incitano all'odio, discriminazione, violenza contro persone o gruppi
Violano diritti di proprietà intellettuale di terzi (foto rubate, ecc.)
Rappresentano minori riconoscibili in contesti inappropriati
Contengono informazioni personali di terzi senza consenso (indirizzi, targhe, documenti)
Promuovono attività illegali, truffe, contenuti ingannevoli
Spam pubblicitario non autorizzato

Per maggiori dettagli si veda la nostra Community Guidelines.

11.3 Moderazione automatica

Ogni foto caricata viene analizzata da un modello ML locale (NSFW.js) che gira sui nostri server, senza trasferimento a terzi. Il modello assegna uno score di sicurezza e:

Foto con score sicuro vengono pubblicate immediatamente
Foto con score dubbio vengono messe in coda di revisione manuale
Foto con score chiaramente in violazione vengono rifiutate con notifica all'utente

L'utente che ritiene una rimozione errata può fare reclamo via support@piqod.it entro 14 giorni dalla notifica. Il reclamo viene esaminato da un operatore umano e risolto entro 72 ore lavorative.

11.4 Segnalazione contenuti (DSA)

Ai sensi del Regolamento UE 2022/2065 (Digital Services Act), abbiamo implementato un meccanismo di notice-and-action che permette a qualsiasi utente di segnalare contenuti presumibilmente illegali o in violazione delle regole della community. La segnalazione avviene tramite il pulsante "Segnala" su ogni Live.

Le segnalazioni vengono esaminate in buona fede e senza ritardo. I contenuti segnalati come manifestamente illegali vengono rimossi il più rapidamente possibile. Al segnalante e all'autore del contenuto viene fornita motivazione della decisione assunta.

12. Decisioni automatizzate e profilazione

Il Servizio utilizza algoritmi di ranking e raccomandazione per ordinare i risultati di ricerca, suggerire destinazioni, personalizzare l'esperienza. Questi algoritmi:

Utilizzano dati di navigazione dell'utente (se consenso fornito per la categoria comportamentale)
Utilizzano pattern aggregati di altri utenti
Non producono decisioni con effetti giuridici significativi sull'utente (non negano l'accesso a servizi, non valutano creditworthiness, non discriminano in modi rilevanti)

L'utente ha diritto di:

Conoscere la logica sottostante agli algoritmi
Richiedere intervento umano per una valutazione alternativa
Esprimere il proprio punto di vista e contestare la decisione automatica

Questi diritti si esercitano contattando privacy@piqod.it.

13. Aggiornamenti di questa informativa

Aggiorniamo questa informativa periodicamente per riflettere cambiamenti normativi, tecnologici o del Servizio. La data dell'ultimo aggiornamento è indicata in cima al documento.

In caso di modifiche sostanziali (ad esempio nuove categorie di dati trattati, nuovi fornitori, nuove finalità), informeremo gli utenti registrati via email e tramite avviso prominente sul sito, con almeno 30 giorni di anticipo rispetto all'entrata in vigore delle modifiche.

L'utilizzo continuato del Servizio dopo le modifiche costituisce accettazione delle stesse. L'utente che non concorda con le modifiche può sempre esercitare il suo diritto di cancellazione (sezione 8.3).

14. Contatti

Per qualsiasi questione relativa a questa informativa o ai trattamenti descritti:

Email privacy: privacy@piqod.it
Email supporto generale: support@piqod.it
PEC: {{LEGAL_ENTITY_PEC}}
Posta ordinaria: PIQOD di Sorrentino Lucio, Via Somma n. 10, 80034 Marigliano (NA), Italia

Ci impegniamo a rispondere entro 30 giorni da ogni richiesta scritta.

Appendice A — Glossario

Termine	Definizione
Dato personale	Qualsiasi informazione riguardante una persona fisica identificata o identificabile
Trattamento	Qualsiasi operazione compiuta su dati personali (raccolta, memorizzazione, uso, comunicazione, ecc.)
Titolare del trattamento	Soggetto che determina finalità e mezzi del trattamento (in questo caso: PIQOD)
Responsabile del trattamento	Soggetto che tratta dati per conto del Titolare (i nostri fornitori tecnici)
Interessato	La persona fisica cui si riferiscono i dati (in questo caso: l'utente)
Consenso	Manifestazione di volontà libera, specifica, informata, inequivocabile
Pseudonimizzazione	Trattamento in modo che i dati non possano essere attribuiti a un individuo specifico senza informazioni aggiuntive
Anonimizzazione	Trattamento che rende impossibile identificare l'interessato, in modo irreversibile
k-anonymity	Tecnica di anonimizzazione che garantisce che ogni record sia indistinguibile da almeno k-1 altri
DSAR	Data Subject Access Request, richiesta di esercizio dei diritti dell'interessato
DPIA	Data Protection Impact Assessment, valutazione d'impatto sulla protezione dati
DPA	Data Processing Agreement, contratto tra titolare e responsabile del trattamento
UGC	User Generated Content, contenuti pubblicati dagli utenti
DSA	Digital Services Act, Regolamento UE 2022/2065 sui servizi digitali
EDPB	European Data Protection Board, organismo europeo che coordina le autorità di controllo

Fine del documento.

Informativa sulla Privacy