Conforme al Regolamento UE 2016/679 (GDPR)

Informativa sul Trattamento dei Dati Personali (Privacy Policy)

Ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e della normativa italiana vigente.
Data di ultimo aggiornamento: 29 Ottobre 2026.

Sintesi Trasparente e Impegno Privacy-First

La tutela della riservatezza e la sicurezza dei dati personali costituiscono un principio fondante di Loya. La nostra architettura è progettata con approccio Privacy by Design e Privacy by Default: i server sono situati esclusivamente nell'Unione Europea, non vendiamo né cediamo dati personali a terzi per scopi pubblicitari, e le tessere digitali per Apple Wallet e Google Wallet non raccolgono dati biometrici né accedono ai metodi di pagamento dei dispositivi.

1 Titolare del Trattamento e Dati di Contatto

Il Titolare del trattamento dei dati personali raccolti tramite il sito web loya.it e per la gestione delle registrazioni di prova alla piattaforma è:

Titolare: Team Promotore del Progetto Loya

Stato del progetto: Piattaforma software in fase di sviluppo e pre-lancio tecnologico (anteprima e beta test a titolo gratuito; nessun servizio a pagamento o transazione commerciale attiva).

Luogo del trattamento: Italia (Unione Europea) con server applicativi ospitati in UE.

Email di contatto Privacy / Titolare: info@loya.it

Al momento dell'avvio commerciale del servizio e della costituzione della società / apertura della Partita IVA, la presente sezione sarà prontamente integrata con la ragione sociale e i relativi dati d'iscrizione al Registro delle Imprese.

2 Distinzione dei Ruoli: Chi è Titolare e chi Responsabile

Nel funzionamento del servizio Loya operano due distinti livelli di trattamento:

Loya quale Titolare (Data Controller)

Loya è Titolare autonomo per i dati degli esercenti e commercianti (Merchant) che creano un account, sottoscrivono un abbonamento, accedono alla piattaforma gestionale e utilizzano il sito loya.it.

Loya quale Responsabile (Data Processor - Art. 28)

Per i dati dei clienti finali dei commercianti (titolari delle tessere fedeltà nel Wallet), il singolo commerciante è il Titolare autonomo del trattamento. Loya agisce in qualità di Responsabile del Trattamento ex art. 28 GDPR, fornendo l'infrastruttura tecnologica e crittografica per la generazione dei pass e l'invio delle notifiche.

3 Categorie di Dati Personali Trattati

A. Dati di Navigazione e Log di Sistema

I sistemi informatici e le procedure software preposte al funzionamento di questo sito web acquisiscono, nel corso del loro normale esercizio, alcuni dati personali la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet (es. indirizzi IP, tipo di browser, timestamp della richiesta, URI delle risorse richieste). Questi dati vengono utilizzati al solo fine di ricavare informazioni statistiche anonime sull'uso del sito e per controllarne il corretto funzionamento e la sicurezza informatica.

B. Dati forniti volontariamente dal Merchant

In fase di registrazione e gestione del servizio: nome, cognome, ragione sociale, codice fiscale, partita IVA, indirizzo della sede operativa e legale, indirizzo email, recapito telefonico, credenziali di accesso (memorizzate tramite hashing crittografico irreversibile), dati di fatturazione e cronologia degli abbonamenti.

C. Dati relativi alle Tessere Digitali Wallet

Codice identificativo univoco della carta (Pass Serial Number), saldo timbri o punti, push notification token rilasciato dai server Apple APNs o Google Wallet per l'aggiornamento automatico della tessera, data di emissione e ultimo aggiornamento. Nessun dato relativo a carte di credito/debito bancarie viene mai trattato da Loya.

D. Dati di Geofencing e Posizione

I beacon o le coordinate geografiche associate alle tessere Wallet risiedono esclusivamente on-device nello smartphone del cliente finale. I server di Loya non tracciano in tempo reale la posizione geografica GPS dei consumatori. È il sistema operativo del telefono (iOS o Android) a mostrare il pass sulla schermata di blocco quando rileva la vicinanza alla sede del negozio, senza inviare le coordinate GPS ai server di Loya.

4 Finalità e Basi Giuridiche del Trattamento

Finalità del Trattamento	Base Giuridica (Art. 6 GDPR)	Obbligatorietà del Conferimento
Erogazione del servizio SaaS, generazione pass Apple/Google Wallet e gestione account	Esecuzione di un contratto o misure precontrattuali (Art. 6, par. 1, lett. b)	Necessario. Il mancato conferimento impedisce l'erogazione del servizio.
Fatturazione, contabilità e assolvimento di obblighi fiscali	Adempimento di un obbligo legale (Art. 6, par. 1, lett. c)	Obbligatorio per legge tributaria e civilistica italiana.
Sicurezza informatica, prevenzione attacchi e contrasto alle frodi	Legittimo interesse del Titolare (Art. 6, par. 1, lett. f)	Automatico per l'accesso e la fruizione della piattaforma.
Assistenza tecnica, ticket di supporto e notifiche di servizio	Esecuzione del contratto (Art. 6, par. 1, lett. b)	Necessario per rispondere alle richieste dell'utente.
Newsletter informativa o aggiornamenti di prodotto opzionali	Consenso esplicito dell'interessato (Art. 6, par. 1, lett. a)	Facoltativo. Revocabile in qualsiasi momento con un clic.

5 Luogo del Trattamento e Server Esclusivamente in UE

I dati personali gestiti dalla piattaforma Loya sono conservati e trattati esclusivamente all'interno dello Spazio Economico Europeo (SEE) su server ad alta affidabilità conformi a ISO 27001 (datacenter Hetzner in Germania/Unione Europea).

Non viene effettuato alcun trasferimento di dati verso paesi terzi non appartenenti all'UE o allo Spazio Economico Europeo, fatta eccezione per il transito tecnico dei token crittografici necessari alle infrastrutture di notifica push di Apple Inc. e Google LLC, regolato da Clausole Contrattuali Standard (Standard Contractual Clauses - SCC) approvate dalla Commissione Europea ex art. 46 GDPR.

6 Periodo di Conservazione dei Dati (Data Retention)

Dati dell'Account Merchant: conservati per l'intera durata del rapporto contrattuale e, successivamente alla cessazione, per un periodo massimo di 10 anni in ottemperanza agli obblighi civilistici, contabili e fiscali italiani (art. 2220 del Codice Civile).
Dati delle Tessere e Clienti Finali (in qualità di Responsabile): conservati per tutta la durata del contratto con il Merchant; alla cessazione dell'account o su richiesta del Merchant, i dati vengono cancellati o restituiti conformemente all'art. 28.3.g GDPR.
Log tecnici di sicurezza e accesso: conservati per un periodo non superiore a 30 giorni, salvo necessità di accertamento di reati informatici da parte dell'Autorità Giudiziaria.

7 Misure di Sicurezza Tecniche e Organizzative (Art. 32 GDPR)

Adottiamo rigorose misure di sicurezza adeguate a prevenire la perdita dei dati, usi illeciti o non corretti ed accessi non autorizzati:

Crittografia in transito e a riposo Protocollo TLS 1.3 con cifratura forte su tutte le connessioni; certificati SSL dedicati.

Isolamento Multi-Tenant Isolamento logico rigido tramite Global Scopes a livello di database per impedire accessi incrociati fra commercianti.

Firma Digitale Certificata Firma crittografica dei pass (.pkpass) con chiavi private protette per garantire autenticità e integrità su iOS e Android.

Backup e Resilienza Procedure di backup automatico cifrato e piani di continuità operativa conformi agli standard industriali.

8 Diritti dell'Interessato (Artt. 15-22 GDPR)

In qualsiasi momento, ciascun interessato ha il diritto di esercitare nei confronti del Titolare i seguenti diritti previsti dal Regolamento UE 2016/679:

Diritto di Accesso (Art. 15): ottenere conferma se sia o meno in corso un trattamento di dati personali e riceverne copia.

Diritto di Rettifica (Art. 16): ottenere l'aggiornamento o la correzione di dati inesatti.

Diritto alla Cancellazione / Oblio (Art. 17): ottenere la cancellazione dei propri dati qualora non sussistano più obblighi di legge per la conservazione.

Diritto di Limitazione del Trattamento (Art. 18): richiedere il blocco temporaneo del trattamento in presenza dei requisiti previsti.

Diritto alla Portabilità dei Dati (Art. 20): ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico.

Diritto di Opposizione (Art. 21): opporsi in qualsiasi momento al trattamento per motivi connessi alla propria situazione particolare.

Diritto di Revoca del Consenso: revocare in qualunque momento il consenso precedentemente prestato senza pregiudicare la liceità del trattamento anteriore alla revoca.

Come esercitare i propri diritti

È possibile esercitare i propri diritti inviando una comunicazione scritta con oggetto "Esercizio Diritti Privacy GDPR" all'indirizzo email: info@loya.it. Il Titolare fornirà riscontro senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta (prorogabile di due mesi nei casi di particolare complessità ai sensi dell'art. 12.3 GDPR).

9 Diritto di Reclamo all'Autorità di Controllo Competente

Qualora l'interessato ritenga che il trattamento dei dati personali a lui riferiti avvenga in violazione delle disposizioni del Regolamento (UE) 2016/679, ha il diritto di proporre reclamo all'Autorità di controllo nazionale competente, conformemente all'art. 77 del GDPR:

Garante per la Protezione dei Dati Personali

Piazza Venezia n. 11, 00187 Roma (Italia)

Centralino: (+39) 06.696771 | Fax: (+39) 06.69677.3785

Email: protocollo@gpdp.it | PEC: protocollo@pec.gpdp.it

Sito web istituzionale: www.garanteprivacy.it

10. Modifiche alla presente Informativa

Il Titolare si riserva il diritto di apportare modifiche alla presente Privacy Policy in qualunque momento, dandone informazione agli utenti su questa pagina web e, se tecnicamente e contrattualmente fattibile, inviando una notifica diretta agli esercenti registrati. Si invita a consultare regolarmente questa pagina per verificare la data di ultimo aggiornamento riportata in testa.