1. Titolare del trattamento e dati di contatto
Il titolare del trattamento dei dati personali è:
Promethea S.r.l.
Sede legale: Via Flavia, 82 – 34148 Trieste (TS) – Italia
P.IVA: 01417350327 | REA: TS – 214318
Email generale: info@eventhea.com
Supporto tecnico: support@eventhea.com
Email privacy: privacy@prometheasrl.it
Rappresentante legale: Nicholas Gabriel Corelli
Alla data della presente informativa non è stato nominato un DPO (Data Protection Officer). Per qualsiasi richiesta relativa al trattamento dei dati personali e per l'esercizio dei diritti (par. 11) scrivere a privacy@prometheasrl.it.
2. Ambito di applicazione — Chi è interessato
La presente informativa si applica ai dati personali trattati da Promethea S.r.l. tramite la piattaforma web "Eventhea" in relazione agli utenti Customer (utenti finali, persone fisiche) che:
- si registrano alla piattaforma Eventhea;
- utilizzano l'app per scoprire eventi, seguire organizzatori, iscriversi agli eventi, effettuare check-in/check-out, ricevere notifiche;
- interagiscono eventualmente con l'assistente AI degli eventi (se attivato dall'organizzatore).
L'utilizzo del servizio da parte dei Customer è consentito esclusivamente a utenti maggiorenni (età ≥ 18 anni). Durante il processo di registrazione l'utente dichiara di avere almeno 18 anni; in caso contrario non è possibile utilizzare Eventhea come Customer.
3. Tipologie di dati trattati
A seconda delle funzionalità utilizzate, Promethea tratta le seguenti categorie di dati personali:
Nome, cognome, indirizzo e-mail, eventuale username, lingua preferita.
E-mail di login; password gestita tramite Promethea Account, sistema centralizzato di identità digitale di Promethea S.r.l., con tecniche di hashing sicuro — Promethea non accede alla password in chiaro. L’accesso avviene esclusivamente tramite il Promethea Account: non è previsto alcun accesso tramite account di terzi.
La registrazione su Eventhea comporta la creazione di un Promethea Account, infrastruttura di identità digitale condivisa tra le applicazioni del gruppo Promethea S.r.l. (Eventhea, Essenthea, Plathea e future applicazioni). I dati identificativi base (email, nome, cognome, foto profilo) sono trattati da Promethea S.r.l. nell'ambito di Promethea Account e trasmessi a Eventhea tramite token JWT sicuri, senza accesso diretto tra i database delle singole applicazioni.
Data e ora di creazione account, eventuale ultimo accesso, identificativi tecnici di sessione (token, cookie tecnici, LocalStorage, ecc.).
Foto profilo/avatar; biografia; città o area geografica (se fornita); data di nascita e relativa età calcolata; flag di maggiore età (is_adult).
Lingua dell'interfaccia, preferenze di notifica (push ed e-mail), flag di opt-out dalla gamification (se implementato), consensi specifici (Smart Exit, marketing, ecc.).
Log delle azioni essenziali per funzionamento e sicurezza (es. iscrizione/disiscrizione evento, check-in/check-out, variazioni impostazioni). Attività interne per monitoraggio e prevenzione abusi.
Eventi visualizzati e seguiti; organizzazioni seguite (following); iscrizioni agli eventi (event_registrations) con identificativo evento, data/ora iscrizione, stato e eventuali note.
Check-in tramite QR code (utente, evento, data/ora, esito); check-out manuale o Smart Exit (metodo, data/ora e, per il solo Smart Exit, distanza dal luogo evento — vedi par. 5). Nessuna coordinata GPS viene conservata.
Nome/cognome, foto profilo, età/indicazione maggiorenne, stato iscrizione, stato blocco, eventuale indicazione di check-in già avvenuto. Visualizzati dall'operatore dell'organizzatore al momento della scansione.
Utente scansionato, operatore, evento, data/ora, esito (ok, blocked, not_registered, underage, invalid, ecc.) — conservati in qr_scan_logs.
Log XP (xp_logs): azioni che generano punti, data/ora, punti assegnati. Profilo gamification: livello, grado/"titolo", XP totali. Classifica pubblica: nome, cognome, avatar, livello, grado, XP (per chi non ha esercitato opt-out).
Identificativo subscription push (endpoint, chiavi pubbliche), dispositivo/browser, eventi o organizzatori che generano le notifiche.
Indirizzo e-mail, tipologia di comunicazione, log di invio/ricezione tecnica (esito consegna, eventuali bounce).
Messaggi inviati all'assistente, risposte AI, metadati (timestamp, evento). Dati tecnici: identificativo conversazione, numero messaggi, log AI (ai_usage_logs). Solo per eventi con AI attivata dall'organizzatore.
ID utente, operazioni rilevanti ai fini di sicurezza e audit, indirizzo IP, user agent, parametri tecnici di richiesta.
Tipologia documento accettato, versione, lingua, timestamp di accettazione, identificativo utente, eventuale IP e user agent — conservati in terms_acceptances.
Indirizzo IP e dati tecnici del dispositivo/browser raccolti dai log di servizio per sicurezza e diagnostica. Nell'applicazione non sono presenti strumenti di statistica, pixel pubblicitari né tracciamento cross-site: la misurazione del traffico riguarda il solo sito vetrina ed è descritta nell'informativa di quel sito.
4. Finalità del trattamento e basi giuridiche
Base giuridica: Esecuzione contrattuale — il conferimento è obbligatorio per l'utilizzo del servizio.
Base giuridica: Legittimo interesse del Titolare a garantire sicurezza e prevenire frodi.
Base giuridica: Esecuzione contrattuale e legittimo interesse congiunto di Promethea e organizzatori.
Base giuridica: Consenso esplicito — libero, specifico e revocabile in qualsiasi momento.
Base giuridica: Legittimo interesse a migliorare coinvolgimento; consenso per funzionalità opzionali specifiche.
Base giuridica: Esecuzione contrattuale per comunicazioni di servizio; consenso opt-in per marketing.
Base giuridica: Esecuzione contrattuale (uso facoltativo) e legittimo interesse al miglioramento del servizio.
Base giuridica: Legittimo interesse del Titolare su dati aggregati o pseudonimizzati.
Base giuridica: Adempimento di obblighi legali e legittimo interesse alla tutela dei diritti.
5. Trattamento dei dati di geolocalizzazione (Smart Exit e checkout)
La funzionalità Smart Exit è un meccanismo opzionale di check-out automatico dall'evento, basato sulla rilevazione della posizione del dispositivo.
Smart Exit è disabilitato di default a livello di evento. L'utente Customer deve: attivare la funzionalità tramite apposita schermata di consenso nel profilo; autorizzare la condivisione della posizione tramite il proprio browser/dispositivo. Il rifiuto o la revoca del consenso non pregiudica l'utilizzo delle funzionalità base.
Modalità di raccolta:
- il sistema utilizza le API di geolocalizzazione del browser (navigator.geolocation) con accuratezza standard;
- il tracking avviene solo quando l'app è aperta in foreground — nessun tracking in background;
- non viene registrata né la traiettoria né la posizione dell’utente: il confronto con l’area evento avviene sul dispositivo e al server viene trasmessa la sola distanza dal luogo evento al momento in cui il sistema considera l’utente fuori dall’area.
Dati raccolti con consenso: distanza (in metri) dal luogo evento al momento del check-out automatico. Non vengono raccolte né conservate coordinate GPS (latitudine/longitudine) né il dato di accuratezza della posizione.
Conservazione: le coordinate GPS vengono conservate per un massimo di 90 giorni dalla data del checkout. Trascorso tale termine le coordinate vengono cancellate o rese anonime, mantenendo eventualmente solo informazioni non riconducibili all'utente (es. indicazione generica dell'avvenuto checkout).
6. Notifiche push, e-mail e comunicazioni marketing
Notifiche push — vengono inviate per: nuovi eventi degli organizzatori seguiti; eventi a cui l'utente è iscritto che stanno per iniziare; promemoria settimanali; variazioni di stato (aggiunta a un team, limite partecipanti). Per riceverle sono necessari il consenso del browser/dispositivo e l'attivazione nel profilo Eventhea.
E-mail di servizio (non disattivabili):
- gestione account (conferma registrazione, reset password, avvisi di sicurezza);
- partecipazione agli eventi (conferma iscrizione, reminder, informazioni importanti);
- adempimento di obblighi contrattuali o legali.
Comunicazioni promozionali / marketing — subordinate al consenso opt-in dell'utente. L'invio è possibile solo con consenso attivo; l'utente può revocarlo in qualsiasi momento dalle preferenze del profilo o tramite link di disiscrizione nelle e-mail.
L'utente ha sempre la possibilità di personalizzare le preferenze di notifica, abilitando o disabilitando singole categorie di notifiche push e/o e-mail dal proprio profilo (preference center).
7. Assistente AI (Anthropic) e conversazioni utente
Per alcuni eventi, l'organizzatore può attivare un assistente virtuale AI integrato in Eventhea. In tal caso le conversazioni sono trattate da Promethea e conservate nel database Eventhea (Supabase), e vengono trasmesse al fornitore di tecnologia AI Anthropic PBC (Stati Uniti) tramite API.
Anthropic tratta i dati in qualità di responsabile del trattamento per conto di Promethea, sulla base del Data Processing Addendum di Anthropic, incorporato per rinvio nei Termini Commerciali del fornitore. Sulla base dei medesimi Termini Commerciali, i contenuti trasmessi tramite API non sono utilizzati per l'addestramento dei modelli di intelligenza artificiale del fornitore.
L'utente è invitato a non inserire nelle conversazioni: dati relativi alla salute, vita sessuale o orientamento sessuale; dati che rivelino origine razziale/etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale; dati giudiziari; dati di minori; altre informazioni particolarmente sensibili non necessarie per porre domande sull'evento.
Conservazione:
- su Eventhea: 30 giorni dalla conversazione, poi cancellazione automatica; oltre tale termine restano solo eventuali analisi interne aggregate o pseudonimizzate;
- su Anthropic: per il tempo previsto dalle policy del fornitore; in ogni caso, alla cessazione del rapporto contrattuale Anthropic cancella i dati del cliente entro trenta giorni, salve le eccezioni previste dal suo Data Processing Addendum (obblighi di legge, contenzioso, contrasto agli abusi).
L'utilizzo dell'assistente AI è facoltativo: chi non desidera utilizzarlo può semplicemente non accedere a tale funzionalità.
8. Destinatari dei dati e ruoli privacy
8.1. Organizzatori degli eventi
Per le iscrizioni agli eventi, la gestione delle presenze (check-in e check-out) e i log delle scansioni QR, Promethea e l'organizzatore operano come contitolari del trattamento ai sensi dell'art. 26 GDPR, sulla base dell'Accordo di Contitolarità disponibile fra i documenti legali. Promethea è il punto di contatto per l'esercizio dei diritti relativi a tali trattamenti: privacy@prometheasrl.it. Per gli altri trattamenti ciascuna parte agisce quale titolare autonomo. I dati accessibili all'organizzatore sono:
- dati identificativi dei partecipanti (nome, cognome, eventuale foto, stato iscrizione, presenze);
- esito delle scansioni QR (check-in, eventuali blocchi);
- eventuali note di iscrizione raccolte tramite Eventhea.
L'organizzatore non accede alle conversazioni dettagliate con l'assistente AI.
8.2. Fornitori tecnici (sub-responsabili del trattamento)
Database, autenticazione, storage e funzioni serverless per la piattaforma Eventhea.
Sistema centralizzato di autenticazione e gestione identità digitale condiviso tra le applicazioni del gruppo Promethea. Tratta i dati identificativi dell'utente (email, nome, cognome, avatar) in qualità di Titolare autonomo del trattamento nell'ambito del proprio sistema di identità.
Fornitore della tecnologia AI utilizzata dall'assistente virtuale degli eventi.
Fornitore di servizi di posta elettronica/SMTP.
Google LLC (Chrome/Android), Mozilla Corporation (Firefox), Apple Inc. (Safari/iOS) — per l'erogazione delle notifiche push ai rispettivi browser/dispositivi.
Eventuali provider di hosting e infrastruttura web (es. GitHub Pages, Vercel Inc. o analoghi).
Tutti i fornitori sono nominati responsabili del trattamento ai sensi della normativa applicabile, in base a specifici DPA.
8.3. Autorità competenti
I dati potranno essere comunicati quando richiesto da norme inderogabili di legge, provvedimenti delle Autorità competenti o per la tutela in giudizio dei diritti di Promethea.
9. Trasferimenti di dati verso Paesi terzi
Alcuni fornitori (es. Supabase, Anthropic) hanno sede negli Stati Uniti o trattano i dati su server fuori dall'UE. In tali casi Promethea:
- si assicura che il trasferimento avvenga nel rispetto della normativa applicabile;
- utilizza le clausole contrattuali standard adottate dalla Commissione europea (per Anthropic PBC: Moduli Due e Tre, incorporati nel Data Processing Addendum del fornitore, con le addende UK e Svizzera ove applicabili), unitamente a misure tecniche adeguate (cifratura in transito e a riposo, minimizzazione dei dati trasmessi);
- limita i dati trasferiti a quelli strettamente necessari (es. contenuto minimo delle richieste AI, metadati tecnici per le notifiche push).
Ulteriori informazioni sui trasferimenti possono essere richieste scrivendo a privacy@prometheasrl.it.
10. Tempi di conservazione dei dati
Per tutta la durata del rapporto contrattuale e fino a cancellazione dell'account. La prova dell’accettazione (chi, cosa, quando, versione e lingua del documento) è conservata senza limite di tempo: è ciò che consente di dimostrare in qualsiasi momento l’adempimento degli obblighi di legge e serve all’accertamento e alla difesa di un diritto (artt. 7.1 e 17.3, lett. e, GDPR). I soli dati circostanziali associati — indirizzo IP e user agent — sono azzerati decorsi 60 mesi.
Fino a 3 anni dal termine dell'evento, salvo obblighi di legge o necessità di difesa in giudizio.
Massimo 90 giorni dalla data del checkout, dopodiché le coordinate vengono cancellate o anonimizzate.
Fino a 12 mesi dall'evento, con eventuale anonimizzazione degli identificativi utente per conservare solo dati statistici o di sicurezza.
Fino alla revoca del consenso o alla disattivazione delle notifiche da parte dell'utente, o comunque finché strettamente necessari.
Su Eventhea: 30 giorni dalla conversazione, poi cancellazione automatica; oltre tale termine restano solo analisi interne aggregate/pseudonimizzate. Su Anthropic: secondo policy e DPA del fornitore (es. 30 giorni).
La prova dell’accettazione (chi, cosa, quando, versione e lingua del documento) è conservata senza limite di tempo: è ciò che consente di dimostrare in qualsiasi momento l’adempimento degli obblighi di legge e serve all’accertamento e alla difesa di un diritto (artt. 7.1 e 17.3, lett. e, GDPR). I soli dati circostanziali associati — indirizzo IP e user agent — sono azzerati decorsi 60 mesi.
Fino a cancellazione da parte dell'utente o eliminazione dell'account; in caso di cancellazione account Promethea provvede alla rimozione dei file.
In linea di massima fino a 12 mesi, salvo conservazione più lunga per gestione di incidenti di sicurezza o contenziosi.
11. Diritti dell'interessato
L'utente Customer, in qualità di interessato, può esercitare in qualsiasi momento i seguenti diritti:
Ottenere conferma che sia in corso un trattamento di dati personali che lo riguardano e ricevere informazioni relative a tali dati.
Ottenere la rettifica dei dati personali inesatti o l'integrazione dei dati incompleti.
"Diritto all'oblio" — ottenere la cancellazione nei casi previsti dalla normativa (dati non più necessari, revoca del consenso senza altre basi giuridiche, ecc.).
Richiedere che i dati siano trattati, salvo che per la conservazione, solo in determinate circostanze (es. contestazione dell'esattezza, opposizione al trattamento).
Ricevere in formato strutturato, leggibile da dispositivo automatico, i dati personali forniti e trasmetterli a un altro titolare ove tecnicamente possibile.
Opporsi al trattamento basato su legittimo interesse del Titolare, inclusa la profilazione connessa. Promethea si asterrà dal trattare ulteriormente i dati, salvo motivi legittimi cogenti.
Qualora il trattamento sia basato sul consenso, revocarlo in qualsiasi momento senza pregiudicare la liceità del trattamento precedente alla revoca (es. Smart Exit, marketing).
Per esercitare tali diritti: utilizza, ove disponibili, le funzionalità dell'app (modifica profilo, impostazioni privacy, cancellazione account); oppure invia una richiesta a privacy@prometheasrl.it. Hai inoltre il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali.
12. Natura del conferimento dei dati
I dati richiesti in fase di registrazione e quelli necessari all'erogazione delle principali funzionalità sono obbligatori: il loro mancato conferimento comporta l'impossibilità di creare o mantenere l'account e utilizzare Eventhea.
Sono invece facoltativi:
- dati aggiuntivi di profilo (biografia, foto avatar, città);
- consenso alla geolocalizzazione Smart Exit;
- consenso a comunicazioni commerciali e marketing;
- eventuali preferenze aggiuntive non strettamente necessarie al servizio.
Il mancato conferimento di dati facoltativi o la mancata prestazione di alcuni consensi può comportare l'impossibilità di utilizzare determinate funzionalità opzionali, ma non pregiudica l'utilizzo delle funzioni essenziali della piattaforma.
13. Trattamenti relativi ai minori
Eventhea è destinata esclusivamente a utenti maggiorenni (18+). Durante la registrazione l'utente dichiara di aver compiuto 18 anni. Promethea non consente volontariamente la registrazione di minori; qualora venga a conoscenza di utenti minorenni, procederà alla disattivazione dell'account e, ove necessario, alla cancellazione dei dati relativi.
14. Cookie e strumenti tecnici
L’applicazione Eventhea utilizza esclusivamente:
- Cookie e/o tecnologie di storage tecnico (es. LocalStorage) strettamente necessari per consentire l'autenticazione, mantenere la sessione utente e garantire il corretto funzionamento dell'app;
- Nessuno strumento di analisi o di tracciamento all’interno dell’applicazione non sono presenti strumenti di statistica, pixel pubblicitari o tecnologie di tracciamento cross-site. Gli strumenti di misurazione del traffico riguardano il sito vetrina eventhea.com e sono descritti nell’informativa di quel sito, che li subordina al consenso.
Trattandosi di sole tecnologie necessarie al funzionamento, l'applicazione non richiede alcun consenso preventivo. Per il sito vetrina, che utilizza strumenti di misurazione soggetti a consenso, vale la cookie policy collegata alla presente informativa.
15. Prova del consenso e modalità di accettazione
La registrazione avviene mediante accettazione tramite checkbox di:
- Termini e Condizioni di utilizzo — Utenti Customer;
- Presente Informativa Privacy — Utenti Customer;
- Termini e Privacy di Promethea Account (accettati contestualmente alla registrazione, in quanto la creazione di un account Eventhea comporta la creazione di un Promethea Account);
- Eventuali consensi specifici (Smart Exit, marketing, notifiche push), ciascuno con propria checkbox dedicata.
Promethea registra a fini probatori: data e ora (timestamp) di accettazione; versione e lingua del documento; identificativo utente/account; eventuale indirizzo IP e user agent del dispositivo.
Tali informazioni sono conservate per il tempo indicato al par. 10, esclusivamente per documentare la corretta acquisizione del consenso.
16. Modifiche alla presente informativa
Promethea si riserva il diritto di aggiornare la presente Informativa Privacy in qualsiasi momento, nel rispetto della normativa applicabile. In caso di modifiche sostanziali, gli utenti saranno informati tramite avvisi nell'applicazione e/o sul sito Eventhea e, se del caso, mediante richiesta di nuova accettazione o conferma del consenso laddove le modifiche riguardino trattamenti basati sul consenso.
La versione sempre aggiornata dell'informativa sarà resa disponibile all'interno dell'app e sul sito ufficiale eventhea.com.
Presa visione
L'Utente dichiara di aver preso visione della presente Informativa Privacy. La presa visione è richiesta in fase di registrazione ed è registrata dalla piattaforma con data e ora, utente, indirizzo IP e versione del documento.