Privacy Policy

Il Titolare del trattamento dei dati personali è:

• Urban Labs S.p.A. Impresa Sociale
• Sede legale: Via Golfo di Taranto 5/7, 74121 Taranto (TA)
• P.IVA / C.F.: 03098140738
• PEC: urbanlabs@pec.it
• Email privacy: privacy@urbanlabspa.com
• Sito web: https://urbanlabspa.com/

L'eventuale designazione di un Responsabile della Protezione dei Dati (DPO) sarà comunicata in questa sezione qualora il Titolare verifichi la sussistenza delle condizioni di obbligatorietà di cui all'art. 37 GDPR.

I dati sono trattati dai dipendenti e collaboratori autorizzati del Titolare e possono essere comunicati ai responsabili del trattamento individuati al punto 5 (Stripe, Brevo, Google, Telegram). Essi possono inoltre essere comunicati ad altre società del gruppo Urban Labs per finalità di marketing interno di gruppo, esclusivamente previo consenso dell'interessato. Non è prevista alcuna diffusione.

Categorie di dati raccolti:

• Dati di profilo: foto, lingua, area di interesse, preferenze utente
• Dati di registrazione: nome, email, password cifrata, eventuale P.IVA
• Dati di navigazione e utilizzo del servizio: log tecnici, eventi di interazione
• Dati di pagamento: gestiti da Stripe; i numeri di carta non transitano sui nostri server
• Dati dai provider di autenticazione social: ID, email, nome, avatar (solo se l'utente attiva il login social)
• Dati raccolti tramite chatbot di prenotazione: nome, email, note testuali, preferenze di prenotazione
• Contenuti caricati e interazioni con l'AI: documenti di studio caricati, prompt, output generati (flashcard, quiz, mappe, podcast)

I trattamenti effettuati da Leonidia si fondano principalmente sull'esecuzione del contratto e di misure precontrattuali su richiesta dell'interessato (art. 6(1)(b) GDPR): gestione dell'account e degli abbonamenti, invio di comunicazioni transazionali, gestione delle prenotazioni di consulenza, erogazione del servizio di intelligenza artificiale (Gemini API, in modalità no-training) che elabora i materiali di studio caricati per produrre risposte, flashcard, quiz, mappe concettuali e podcast audio.

I trattamenti analitici (misurazione aggregata dell'utilizzo del sito) e di marketing (newsletter, comunicazioni promozionali, eventuale profilazione) si fondano esclusivamente sul consenso dell'interessato (art. 6(1)(a) GDPR), liberamente prestabile e revocabile in qualunque momento dal pannello di gestione preferenze cookie e dalle impostazioni del profilo utente.

Ulteriori trattamenti accessori (prevenzione frodi, sicurezza informatica, difesa in giudizio, gestione dei reclami) si fondano sul legittimo interesse del Titolare (art. 6(1)(f) GDPR), bilanciato con i diritti dell'interessato. La conservazione dei log di consenso adempie a un obbligo di legge (art. 7 GDPR, onere probatorio sulla prestazione del consenso).

Ai sensi dell'art. 50 del Regolamento UE 2024/1689 (AI Act), informiamo espressamente che gli output generati dal sistema di intelligenza artificiale sono prodotti artificialmente e possono contenere imprecisioni o errori: è responsabilità dell'utente verificarne l'accuratezza prima di utilizzarli per finalità di studio o decisionali. Il sistema non effettua alcuna decisione automatizzata con effetti giuridici o similmente significativi sull'utente ai sensi dell'art. 22 GDPR. Il Titolare procederà alla redazione formale di una Valutazione d'impatto sulla protezione dei dati (DPIA, art. 35 GDPR) prima della messa in produzione pubblica del servizio.

Alcuni trattamenti comportano il trasferimento di dati personali al di fuori dello Spazio Economico Europeo:

• verso gli Stati Uniti per i servizi cloud, di autenticazione, di intelligenza artificiale e di analytics forniti da Google LLC, sulla base della Decisione di adeguatezza UE-USA del 2023 (EU-US Data Privacy Framework) e delle Clausole Contrattuali Standard;
• verso paesi terzi non coperti da decisione di adeguatezza per il servizio Telegram (Telegram FZ-LLC, con sede legale negli Emirati Arabi Uniti; il fornitore dichiara nella propria informativa un'infrastruttura distribuita su più data center in giurisdizioni diverse, senza indicarne le sedi specifiche), utilizzato dal Titolare esclusivamente come canale di consegna delle notifiche tecniche al team di assistenza. Quando una conversazione con il chatbot di prenotazione o assistenza presente sulla landing page richiede l'intervento di un consulente umano, il sistema invia al team un messaggio di notifica via Telegram contenente esclusivamente: un identificativo numerico interno della sessione, la categoria della richiesta (prenotazione consulenza o assistenza tecnica), un timestamp e un link firmato crittograficamente che apre una mini-applicazione web del nostro sistema all'interno dell'app Telegram. L'autenticazione del consulente avviene mediante validazione della firma rilasciata da Telegram al momento dell'apertura della mini-applicazione (meccanismo Telegram Mini App initData, HMAC-SHA256). Nessun dato personale dell'utente (nome, indirizzo email, numero di telefono) e nessun contenuto dei messaggi scambiati con il chatbot transita o viene conservato sui server di Telegram. L'intera conversazione, i dati di contatto e i dettagli della prenotazione sono trattati e conservati esclusivamente sui server del Titolare situati nell'Unione Europea. Il trasferimento extra-UE è quindi limitato a metadati tecnici (identificativi numerici, categoria, timestamp). Il fornitore non mette a disposizione un accordo di trattamento dati (DPA) standard conforme al GDPR: il Titolare tratta pertanto questo trasferimento sulla base del proprio legittimo interesse (art. 6(1)(f) GDPR) a garantire assistenza tempestiva agli utenti, mitigato dalla minimizzazione dei dati trasferiti, ed è in corso una valutazione d'impatto del trasferimento (TIA) ai sensi della sentenza Schrems II (CGUE C-311/18) unitamente a una richiesta formale di garanzie contrattuali al fornitore. Per esercitare i diritti previsti dagli artt. 15-22 GDPR è possibile scrivere al Titolare all'indirizzo privacy@urbanlabspa.com.

In assenza di decisione di adeguatezza, i trasferimenti avvengono di norma sulla base delle Clausole Contrattuali Standard adottate dalla Commissione europea (Dec. UE 2021/914) e dell'adozione di misure tecniche e organizzative supplementari ove necessario a seguito della giurisprudenza Schrems II (CGUE C-311/18), salvo quanto specificamente indicato sopra per i singoli fornitori che non offrono un DPA standard. L'elenco aggiornato dei trasferimenti e delle relative garanzie è disponibile su richiesta all'indirizzo privacy del Titolare.

Il Titolare si avvale di partner selezionati che agiscono come responsabili del trattamento ai sensi dell'art. 28 GDPR, vincolati da Data Processing Agreement (DPA). I principali fornitori sono Stripe (pagamenti), Brevo (email transazionali), Google (autenticazione social, Gemini AI API, Google Analytics 4, Google Tag Manager) e Telegram (canale di consegna delle notifiche tecniche al team di assistenza, esclusivamente metadati di sessione, senza dati personali né contenuti dei messaggi).

L'elenco completo, con finalità, paese di stabilimento, base giuridica e tempi di conservazione, è disponibile nella Cookie Policy al punto 5.

I dati personali sono conservati per il tempo strettamente necessario al perseguimento delle finalità per cui sono raccolti, in conformità ai principi di minimizzazione e limitazione della conservazione (art. 5(1) GDPR). Per gli account utente attivi il riferimento temporale è la durata del rapporto contrattuale, prolungata per il tempo necessario all'adempimento degli obblighi fiscali e di legge. I log di accesso e sicurezza sono conservati per dodici mesi in conformità al Provvedimento del Garante in materia di amministratori di sistema. I log relativi al consenso prestato dall'utente sui cookie e sulle policy sono conservati per dieci anni in adempimento all'onere probatorio previsto dall'art. 7 GDPR. I dati raccolti per finalità di marketing sono conservati fino a revoca del consenso o per il periodo massimo previsto dalle best practice del Garante in assenza di interazione dell'utente.

In qualità di interessato, l'utente ha diritto di accedere ai propri dati personali, di richiederne la rettifica in caso di inesattezza, la cancellazione (cd. "diritto all'oblio") nei limiti previsti dalla legge, la limitazione del trattamento, di riceverli in formato strutturato e leggibile da dispositivo automatico (portabilità), nonché di opporsi al trattamento fondato sul legittimo interesse del Titolare. L'utente ha inoltre diritto di revocare in qualunque momento il consenso prestato per i trattamenti che ne richiedono la base. La revoca ha efficacia immediata per i trattamenti futuri ma non incide sulla liceità del trattamento eseguito anteriormente. Non vengono prese decisioni automatizzate con effetti giuridici o similmente significativi sull'utente (art. 22 GDPR).

La presente Privacy Policy può essere aggiornata per variazioni normative, tecniche o organizzative. La versione corrente è indicata in apertura. In caso di modifiche sostanziali gli utenti registrati riceveranno notifica via email con almeno quindici giorni di anticipo, e al primo accesso successivo all'efficacia della nuova versione sarà richiesto un nuovo riconoscimento (grace period di sette giorni, oltre il quale l'accesso ai servizi sarà sospeso fino al riconoscimento). Gli utenti non registrati ricevono notifica tramite banner in homepage.

Per esercitare i diritti è sufficiente scrivere a privacy@urbanlabspa.com: il Titolare risponde entro trenta giorni, eventualmente estendibili a sessanta in caso di richieste particolarmente complesse, ai sensi dell'art. 12 GDPR. L'esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive. L'interessato ha altresì diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (garanteprivacy.it).

Per la disciplina specifica dei cookie e degli strumenti analoghi (analytics, widget di assistenza, login social, pagamento, AI generativa) si rinvia alla Cookie Policy, che costituisce parte integrante della presente informativa.