Informativa resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”) e del D.lgs. 196/2003 come modificato dal D.lgs. 101/2018. Questo documento non costituisce consulenza legale: si consiglia una revisione da parte di un professionista prima della pubblicazione definitiva.
Il titolare del trattamento dei dati personali è [RAGIONE_SOCIALE], con sede legale in [SEDE_LEGALE], P.IVA/C.F. [PARTITA_IVA].
Email di contatto: [EMAIL_PRIVACY] — PEC: [PEC] — Telefono: non indicato.
Responsabile della Protezione dei Dati (DPO), ove nominato: non nominato.
La presente informativa riguarda: (a) i visitatori del sito pubblico Nightpass; (b) gli operatori del gestionale (proprietari, personale di bar, cassa e sicurezza) a cui vengono forniti gli account di accesso; (c) i clienti del locale, i cui dati personali non vengono trattati dal sistema (vedi punto 4).
Navigazione del sito. Il sito pubblico è progettato per non profilare i visitatori. Non utilizza cookie di profilazione, non integra analytics di terze parti, non traccia l'indirizzo IP a fini di marketing e non usa identificatori pubblicitari. L'unico dato conservato lato browser è la preferenza del tema chiaro/scuro, salvata nella memoria locale del dispositivo (localStorage) a soli fini tecnici e di comodità: non viene trasmessa ad alcun server.
Richieste di contatto. I dati inseriti nel modulo “Contatti” (nome o locale, email, messaggio) vengono inoltrati via email alla casella del titolare e non sono salvati in alcun database del sito. Per proteggere il modulo da invii automatici (spam) il server conserva per un'ora un'impronta cifrata e non reversibile dell'indirizzo IP, che poi viene scartata. I dati sono trattati al solo fine di rispondere alla richiesta.
Operatori del gestionale. Per gli operatori vengono trattati i soli dati necessari alla gestione degli accessi e delle operazioni: nome visualizzato, username/email operativa, hash della password (la password in chiaro non è mai conservata), ruolo assegnato, stato dell'account, data e ora dell'ultimo accesso e timestamp amministrativi delle azioni compiute.
Nightpass è costruito secondo i principi di minimizzazione e privacy by design (art. 25 GDPR). Il cliente del locale è rappresentato esclusivamente da un identificativo tecnico anonimo (UID della card o del braccialetto NFC), dallo stato della card, dalle consumazioni e dai pagamenti associati alla singola serata. Non vengono richiesti né raccolti nome, cognome, numero di telefono, email, documento d'identità, indirizzo, data di nascita, indirizzo IP o user agent del cliente.
a) Erogazione del servizio e gestione degli accessi degli operatori — base giuridica: esecuzione di un contratto e legittimo interesse alla sicurezza (art. 6.1.b e 6.1.f GDPR).
b) Sicurezza applicativa e audit delle operazioni (protezione da abusi, tracciamento delle azioni critiche) — base giuridica: legittimo interesse del titolare (art. 6.1.f).
c) Riscontro alle richieste di contatto — base giuridica: riscontro a richiesta dell'interessato (art. 6.1.b) o legittimo interesse a rispondere (art. 6.1.f).
d) Adempimenti di legge eventualmente applicabili — base giuridica: obbligo legale (art. 6.1.c).
Nessun cookie di profilazione, nessun analytics di terze parti, nessun indirizzo IP dei clienti a fini di tracciamento, nessuna geolocalizzazione, nessun identificatore pubblicitario, nessun profilo social, nessuna categoria particolare di dati (art. 9 GDPR).
I dati sono trattati con strumenti informatici e misure tecniche e organizzative adeguate (art. 32 GDPR): password conservate esclusivamente in forma cifrata (hash), protezione delle richieste tramite token anti-CSRF, operazioni protette contro le duplicazioni accidentali, separazione degli accessi per ruolo e audit essenziale delle azioni critiche senza registrare IP o user agent.
I dati possono essere trattati, per conto del titolare, dal fornitore di hosting Aruba S.p.A. in qualità di responsabile del trattamento (art. 28 GDPR), limitatamente alla conservazione tecnica dei dati sui server. I dati non sono diffusi né ceduti a terzi per finalità di marketing.
I dati sono trattati e conservati su server situati nell'Unione Europea (Italia). Non sono previsti trasferimenti verso Paesi terzi; qualora si rendessero necessari, avverranno nel rispetto degli artt. 44 e seguenti del GDPR.
I dati degli operatori sono conservati per la durata del rapporto e disattivati quando l'account non è più necessario. I log tecnici e i dati di audit sono conservati per 90 giorni per i log tecnici e 24 mesi per il registro attività, secondo la policy di data retention del titolare, salvo diversi obblighi di legge. I dati operativi della serata (UID anonimi, consumazioni, pagamenti) sono conservati per finalità gestionali e contabili per 10 anni, per gli obblighi di conservazione contabile.
Gli interessati possono esercitare in qualsiasi momento, ai sensi degli artt. 15-22 GDPR, i diritti di: accesso, rettifica, cancellazione (“diritto all'oblio”), limitazione del trattamento, portabilità dei dati, opposizione al trattamento e diritto di non essere sottoposti a decisioni automatizzate. Le richieste vanno inoltrate a [EMAIL_PRIVACY]. La disattivazione di un operatore è gestita dagli amministratori del gestionale.
Fatto salvo ogni altro ricorso, l'interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) qualora ritenga che il trattamento violi il GDPR.
Il conferimento dei dati degli operatori è necessario per l'attivazione e l'uso degli account: il mancato conferimento rende impossibile l'utilizzo del gestionale. La navigazione del sito pubblico non richiede il conferimento di alcun dato personale.
Il titolare si riserva di aggiornare questa informativa per adeguarla a modifiche normative o del servizio. La versione vigente è sempre quella pubblicata su questa pagina, con indicazione della data di ultima modifica riportata in calce.
Documento in fase di completamento. Ultima modifica: 30/09/2026.