Informativa sul trattamento dei dati personali

HyperCash+ — Versione 26 ottobre 2026

Questa informativa descrive i trattamenti di dati personali connessi al sito e all’app HyperCash+, ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR). La presa visione dell’informativa non costituisce consenso al marketing.

1. Titolare e contatti

Il titolare per i trattamenti della piattaforma è Christian Colombo, titolare di Edith WEB Innovation, Via Carducci 221, Salve (LE), P. IVA 05262410755. Email: admin@auracash.com; PEC: edithweb@pec.it; telefono: 3476339369. Non è stato nominato un DPO; le richieste privacy vanno indirizzate al titolare.

2. Piattaforma e negozianti

L’operatore gestisce account, sicurezza, assistenza e propri rapporti contrattuali e amministrativi. I singoli negozianti determinano le proprie iniziative commerciali, i programmi fedeltà e le offerte: per questi trattamenti consulta anche la loro informativa. Quando la piattaforma elabora dati esclusivamente per conto di un negoziante, il relativo trattamento deve essere disciplinato dalle sue istruzioni e da un accordo ai sensi dell’articolo 28 GDPR. Questa informativa non sostituisce tale accordo e non attesta la sua sottoscrizione.

3. Dati trattati e provenienza

A seconda del ruolo e delle funzioni utilizzate, trattiamo dati di account e contatto, credenziali, dati professionali e fiscali, collegamenti cliente-negozio, importi e date degli acquisti, codici scontrino, note, movimenti e saldi cashback, trasferimenti richiesti, offerte e liste regalo, contratti, provvigioni, documenti amministrativi e informazioni sugli abbonamenti. Trattiamo inoltre richieste di assistenza e dati tecnici necessari ad autenticazione, sicurezza e funzionamento del servizio.

I dati provengono dall’utente, dalle sue operazioni, dai negozianti e dagli altri soggetti autorizzati nei rispettivi flussi, e dai fornitori di pagamento. Chi inserisce dati di altre persone deve disporre di un presupposto valido e fornire le informazioni dovute. Non inserire nelle note o nelle foto informazioni sanitarie, documenti d’identità o altri dati non necessari.

4. Finalità e basi giuridiche

• Account, servizio e assistenza: esecuzione del contratto o di misure precontrattuali richieste. Per i referenti di aziende, legittimo interesse alla gestione del rapporto professionale.
• Abbonamenti, pagamenti e provvigioni: esecuzione del rapporto contrattuale; obblighi di legge per gli adempimenti fiscali e amministrativi applicabili.
• Sicurezza e tutela dei diritti: legittimo interesse alla prevenzione degli abusi, alla protezione del servizio e alla gestione di contestazioni, nei limiti di necessità e proporzionalità.
• Comunicazioni necessarie: la base giuridica del servizio o dell’adempimento a cui si riferiscono, ad esempio verifica email, recupero accesso e avvisi di pagamento.
• Marketing: consenso specifico e revocabile quando richiesto dalla legge. Il collegamento a un negozio e il permesso tecnico del browser alle notifiche non costituiscono un consenso generale alle promozioni.

I dati obbligatori sono necessari per le rispettive funzioni; senza di essi potremmo non poter erogare il servizio richiesto. Il rifiuto del marketing non impedisce l’uso delle funzioni essenziali.

5. Pagamenti, foto degli scontrini e condivisioni

Stripe gestisce l’inserimento dei dati della carta. La piattaforma utilizza gli identificativi, gli esiti e le informazioni sintetiche sul pagamento necessari al servizio. Non inviare dati completi della carta all’assistenza. Consulta anche l’informativa Stripe.

OCR: la fotografia caricata viene elaborata con Tesseract sul server per proporre importo, data e altri dati dello scontrino. L’utente controlla e corregge i risultati prima del salvataggio. Il codice rimuove la directory temporanea alla conclusione dell’elaborazione; i dati confermati nello scontrino restano distinti dalla fotografia.

QR e condivisione: il destinatario riceve le informazioni necessarie all’operazione scelta. Non diffondere QR destinati a trasferimenti personali. La condivisione tramite un’app esterna trasmette il contenuto al servizio e al destinatario selezionati, soggetti alle rispettive informative.

6. Destinatari e fornitori

I dati sono accessibili al titolare, alle persone autorizzate e ai soggetti coinvolti nelle operazioni secondo il rispettivo ruolo. Negozianti, agenti e agenzie accedono alle informazioni pertinenti alle loro attività. Possono intervenire fornitori tecnici, consulenti amministrativi e autorità nei casi previsti dalla legge.

Sono utilizzati Render per infrastruttura e database, Hostinger per l’invio email tramite SMTP, Stripe per i pagamenti e OneSignal per le notifiche push. Il codice associa il telefono dell’utente a OneSignal come identificativo esterno prima della richiesta del permesso push: il solo rifiuto del permesso non garantisce che non sia già avvenuta tale comunicazione.

7. Trasferimenti internazionali

L’infrastruttura Render verificata è situata in Virginia, Stati Uniti. I dati non rimangono quindi esclusivamente nello Spazio economico europeo. Anche altri fornitori possono trattare dati fuori dallo SEE.

I documenti pubblici dei fornitori descrivono i rispettivi meccanismi di trasferimento, comprese le clausole contrattuali standard ove applicabili: Render, Hostinger, Stripe e OneSignal. Per informazioni sulle garanzie concretamente applicabili e per richiederne copia, scrivi al titolare. La verifica documentale degli accordi applicabili agli account è in corso; questa informativa non attesta che tutti gli accordi siano stati sottoscritti o che la verifica sia conclusa.

8. Conservazione e cancellazione

Il titolare ha adottato i seguenti criteri di conservazione, gestiti mediante interventi manuali. L’approvazione dei criteri non attiva una cancellazione automatica nell’app.

• Account e dati ordinari: per la durata del rapporto, poi cancellazione o anonimizzazione entro 30 giorni dalla chiusura delle operazioni pendenti. Una pendenza giustifica la conservazione dei soli dati necessari, non dell’intero profilo senza termine. La chiusura non azzera automaticamente saldi o diritti ancora da regolare.
• Documenti contabili: 10 anni secondo l’obbligo applicabile; eventuali ulteriori conservazioni devono essere motivate. Il termine non si applica automaticamente a tutti gli scontrini, alle foto o ai dati di utilizzo.
• Assistenza ordinaria: 24 mesi dalla chiusura della richiesta; gli elementi necessari a una controversia specifica sono gestiti separatamente.
• Marketing dell’operatore: fino alla revoca, con riesame entro 24 mesi dalla raccolta del consenso. L’uso dell’app non rinnova il consenso. Si conserva separatamente il minimo necessario a rispettare opposizioni e documentare la gestione dei consensi.
• Log di sicurezza: 90 giorni, salvo dati pertinenti a incidenti o controversie documentati.
• Foto OCR: elaborazione temporanea come descritto sopra.

La gestione prevede un controllo manuale mensile, senza rinviare le richieste degli interessati oltre i termini applicabili. La disattivazione tecnica dell’account non equivale a cancellazione: per richiederla contatta il titolare.

Le copie di sicurezza hanno cicli distinti: il servizio Render verificato offre tre giorni di ripristino. Per gli export manuali non è stato verificato un termine massimo uniforme. Dopo un ripristino devono essere riapplicate le cancellazioni intervenute. L’attuazione delle procedure di pulizia e l’inventario degli export sono in corso di completamento.

9. Tecnologie del browser e permessi

La piattaforma conserva nel browser i token di accesso e rinnovo e la preferenza del tema tramite localStorage; usa sessionStorage per ricordare la richiesta del permesso notifiche. Le integrazioni Stripe e OneSignal possono trattare dati tecnici del dispositivo e della connessione secondo le rispettive funzioni e informative. Non si dichiara che il sito utilizzi esclusivamente cookie tecnici.

La fotocamera serve alle scansioni richieste dall’utente. Il rifiuto può impedire quella funzione, senza impedire necessariamente le alternative manuali disponibili. I permessi tecnici non sostituiscono i consensi richiesti per altre finalità.

10. Calcoli e limitazioni automatiche

Cashback, provvigioni e stati degli abbonamenti sono calcolati secondo le regole applicabili. Per gli insoluti, quando la relativa politica è attiva e applicabile al contratto, sono previsti sette giorni di tolleranza, poi blocchi crescenti di 5, 10, 15, 20 e 25 minuti alternati a 30 minuti disponibili, con progressione giornaliera fino alla sospensione completa. Questi automatismi possono limitare l’accesso al servizio.

Puoi contestare un esito, presentare osservazioni e chiedere l’intervento umano del titolare scrivendo ai contatti indicati. L’OCR propone dati da verificare e non decide autonomamente la registrazione dello scontrino.

11. Diritti

Nei casi previsti puoi chiedere accesso, rettifica, cancellazione, limitazione e portabilità, opporti al trattamento e revocare il consenso senza pregiudicare il trattamento precedente. Puoi opporti in qualsiasi momento al marketing diretto.

Scrivi a admin@auracash.com o alla PEC indicata. Può essere richiesta una verifica proporzionata dell’identità. Il termine ordinario di risposta è un mese; eventuali proroghe motivate sono comunicate secondo legge. Per trattamenti autonomi del negoziante rivolgiti anche a quest’ultimo.

Puoi presentare reclamo al Garante per la protezione dei dati personali o all’autorità competente e ricorrere alle tutele giudiziarie previste.

12. Aggiornamenti

Questa pagina riporta versione e data dell’informativa. Gli aggiornamenti rilevanti saranno comunicati con modalità adeguate. La pubblicazione descrive i trattamenti e i criteri adottati; non sostituisce gli accordi necessari né l’effettiva attuazione delle misure organizzative.