Informativa sulla privacy
ASAP Company SNC (di seguito « ASAP », « noi »), società in nome collettivo di diritto svizzero con sede in Chemin de Maillefer 111, 1018 Lausanne, Suisse, gestisce l'app mobile ASAP App (versioni cliente e venditore), il sito asap-app.ch e i servizi associati (il « Servizio »). ASAP agisce in qualità di titolare del trattamento ai sensi dell'art. 5 lett. j della Legge federale sulla protezione dei dati (LPD, versione riveduta in vigore dal 1° settembre 2023) e, ove applicabile, dell'art. 4 n. 7 del GDPR (UE 2016/679).
1. Titolare del trattamento
ASAP Company SNC, Chemin de Maillefer 111, 1018 Lausanne, Suisse. Contatto per la protezione dei dati e il supporto generale: asap.app@proton.me.
2. Ambito di applicazione
La presente informativa si applica a chiunque crei un account cliente o venditore, consulti il sito asap-app.ch, effettui un ordine, gestisca un food truck registrato o interagisca altrimenti con i nostri servizi. Non copre i siti di terzi a cui rimandiamo (Stripe, Apple, Google), che hanno proprie informative.
3. Dati raccolti
Forniti direttamente: dati identificativi (nome, cognome, e-mail, telefono — facoltativo cliente / obbligatorio venditore), password (sottoposta ad hash, mai in chiaro); dati venditore (ragione sociale, numero IDI, indirizzo, dati Stripe Connect, documenti KYC richiesti da Stripe); contenuti (ordini, recensioni e voti, avatar facoltativo, preferiti). Raccolti automaticamente: transazioni (importo, metodo carta/TWINT, data, stato — i dati della carta non sono mai trasmessi né archiviati da ASAP, transitano solo tramite Stripe, PCI-DSS livello 1); posizione (cliente: posizione approssimativa o precisa, solo con autorizzazione, per mostrare i truck vicini; venditore: posizione del truck quando lo stato « online » è attivo); dati tecnici (dispositivo, OS, ID installazione Expo/Firebase, lingua, fuso, IP, log di errore); token di notifica push (Expo Push / FCM); cookie strettamente necessari sul sito e SDK di terzi nell'app (Stripe, Supabase, Mapbox). Ricevuti da terzi: da Stripe (stato KYC, eventi di pagamento); da Google / Apple in caso di accesso social (e-mail, nome, foto), solo con il vostro consenso esplicito.
4. Finalità e basi giuridiche
Esecuzione del contratto (creare l'account, gestire ordine e pagamento, fornire il codice di ritiro, notifiche push): esecuzione contrattuale (LPD art. 31 cpv. 2 lett. a; GDPR art. 6.1.b). Visualizzazione dei truck vicini (posizione cliente): consenso revocabile nelle impostazioni del sistema (GDPR art. 6.1.a). Diffusione della posizione del truck: esecuzione contrattuale venditore e interesse legittimo. Prevenzione delle frodi (pagamento, chargeback, false recensioni): interesse legittimo (LPD art. 31 cpv. 2 lett. d; GDPR art. 6.1.f). Statistiche interne anonime e miglioramento: interesse legittimo. Obblighi legali (contabilità, IVA, richieste delle autorità): obbligo legale (GDPR art. 6.1.c). Marketing diretto via e-mail se attivato: consenso, revoca facile in ogni e-mail. Non effettuiamo alcuna decisione interamente automatizzata con effetti giuridici significativi (art. 21 LPD / art. 22 GDPR).
5. Destinatari e responsabili del trattamento
Non vendiamo mai i vostri dati. Il food truck collegato al vostro ordine riceve il vostro nome, gli articoli ordinati, eventuali istruzioni e il codice di ritiro a 4 cifre — nessun dato di pagamento. Responsabili tecnici: Stripe (pagamenti, pagamenti Connect ai venditori, KYC — Irlanda/USA); Supabase (database, autenticazione, archiviazione, funzioni server — USA); Mapbox (mappe — USA); Expo + Google Firebase Cloud Messaging (push — USA); Vercel (hosting sito e dashboard admin — rete globale). Tutti sono vincolati da contratti di responsabile del trattamento (DPA). I trasferimenti verso gli USA si basano sulle Clausole Contrattuali Tipo e/o sul Data Privacy Framework. Autorità pubbliche: solo su richiesta giuridicamente vincolante.
6. Periodi di conservazione
Account attivo: finché utilizzate il Servizio. Ordini e fatture: 10 anni (art. 958f CO). Dati di pagamento (riepiloghi, ID Stripe): 10 anni. Recensioni: conservate finché l'account esiste, anonimizzate dopo la cancellazione. Log tecnici e di sicurezza: 12 mesi. Token push: disattivati alla disconnessione, eliminati dopo 6 mesi di inattività. Account cancellato su vostra richiesta: profilo anonimizzato immediatamente, riconnessione bloccata, cancellazione definitiva dopo l'adempimento degli obblighi contabili.
7. I vostri diritti
Avete diritto di accesso, rettifica, cancellazione (« diritto all'oblio »), limitazione, portabilità (GDPR), opposizione e revoca del consenso in qualsiasi momento. Potete cancellare il vostro account direttamente nell'app (Account → Elimina account): la cancellazione anonimizza immediatamente il profilo e blocca la riconnessione; gli ordini storici sono conservati in forma dissociata per i nostri obblighi contabili. Per esercitare questi diritti, scrivete a asap.app@proton.me dall'indirizzo associato al vostro account; rispondiamo entro 30 giorni. Reclamo: in Svizzera all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT, edoeb.admin.ch); nell'UE all'autorità del vostro paese di residenza.
8. Sicurezza
Crittografia in transito (TLS 1.2+); crittografia a riposo dei database Supabase; password archiviate solo sotto forma di hash (bcrypt/argon2); accesso limitato per ruoli (RLS Supabase, privilegio minimo); autenticazione amministratore separata verificata a ogni richiesta; monitoraggio delle connessioni sospette e log di audit; dati di pagamento interamente delegati a Stripe (PCI-DSS Level 1). Nessun sistema è totalmente inviolabile; in caso di violazione che leda i vostri diritti, vi avviseremo senza indebito ritardo (art. 24 LPD).
9. Minori
Il Servizio è destinato alle persone che hanno compiuto 18 anni (uso di strumenti di pagamento). Non raccogliamo consapevolmente dati di minori. Se ritenete che un minore si sia registrato, contattateci: elimineremo l'account.
10. Trasferimenti internazionali
Alcuni responsabili del trattamento (Stripe, Supabase, Mapbox, Vercel, Expo, Google) operano dagli Stati Uniti. Questi trasferimenti sono regolati dalle Clausole Contrattuali Tipo (Decisione UE 2021/914), ove applicabile dall'adesione al EU–US Data Privacy Framework e da una valutazione caso per caso del livello di protezione (art. 16 LPD).
11. Cookie e tracker
Il sito asap-app.ch utilizza solo cookie strettamente necessari (sessione, sicurezza, preferenza linguistica). Nessun cookie pubblicitario né pixel di tracciamento marketing. L'app mobile raccoglie gli identificatori tecnici descritti nella sezione 3.
12. Modifiche
Possiamo modificare la presente informativa per riflettere evoluzioni legali, tecniche o del Servizio. Ogni modifica sostanziale vi sarà notificata tramite l'app o via e-mail almeno 14 giorni prima della sua entrata in vigore. La versione applicabile è quella pubblicata su https://admin.asap-app.ch/privacy.
13. Diritto applicabile
La presente informativa è regolata dal diritto svizzero. Per gli utenti residenti nell'Unione europea si applica inoltre il GDPR alle condizioni del suo art. 3.
Contatto
Per qualsiasi domanda relativa ai vostri dati: asap.app@proton.me.
v2026-08-04