Privacy Policy – Exal Pass

Titolare del trattamento

La presente Privacy Policy descrive le modalità con cui da Exal S.r.l., con sede legale in Torino (TO – 10126), Via Genova n. 20-bis, Partita IVA e Codice Fiscale n. 13092970964, iscritta al Registro delle Imprese di Torino con R.E.A. n. 1341923 (“Exal” o il “Titolare del Trattamento”) tratta i dati personali degli utenti del sito web raggiungibile al seguente link https://exalgroup.it/ (il “Sito Web”), degli utenti Exal Pass, dei candidati Homely Partner, degli host, property manager, imprenditori extralberghieri, clienti, potenziali clienti, utenti consumatori e professionali, nonché degli altri soggetti che interagiscono con il Sito Web e i servizi Exal (gli “Utenti”).

Le informazioni contenute nella presente Privacy Policy sono rese ai sensi degli artt. 12, 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”), nonché del D. Lgs. del 30 giugno 2003 n. 196 (c.d. Codice Privacy come da ultimo modificato e integrato.

Principi applicabili al trattamento

Exal tratta i dati personali degli Utenti secondo i principi di liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione.

Exal adotta misure tecniche e organizzative adeguate al rischio, tenendo conto della natura dei dati, delle finalità del trattamento, degli strumenti utilizzati e dei fornitori coinvolti.

Dati di navigazione sul Sito Web

Durante la navigazione sul Sito Web, Exal può trattare dati di navigazione, inclusi indirizzi IP, identificativi online, log di accesso, informazioni sul browser, dispositivo, sistema operativo, pagine visitate, data e ora di accesso, dati tecnici relativi al funzionamento del Sito Web e informazioni raccolte tramite cookie o strumenti analoghi, come meglio definito nella rispettiva Cookie Policy.

Le finalità del trattamento sono le seguenti:

consentire la navigazione sul Sito Web;
garantire la sicurezza del Sito Web;
prevenire abusi e frodi;
assicurare il corretto funzionamento dei sistemi;
effettuare manutenzione tecnica e ottenere statistiche tecniche aggregate.

Le basi giuridiche sono (a) l’esecuzione di misure richieste dall’Utente, (b) il legittimo interesse di Exal alla sicurezza e al corretto funzionamento del Sito Web e (c) per cookie o strumenti non tecnici, il consenso dell’Utente, secondo quanto indicato nella Cookie Policy.

I dati di navigazione sono conservati per il tempo strettamente necessario al funzionamento del Sito Web e alla sicurezza dei sistemi e, in ogni caso, per un periodo non superiore a 5 anni salvo necessità di accertamento di illeciti o difesa di diritti.

Dati dell’account e correlati all’Exal Pass

Per la registrazione, gestione dell’account e fruizione di Exal Pass (come definito e disciplinato nei Termini e Condizioni di utilizzo del Sito Web raggiungibili al seguente link https://exalgroup.it/termini-di-servizio, Exal può trattare nome, cognome, e-mail, telefono, credenziali o account ID, piano scelto, stato dell’abbonamento, crediti maturati, crediti utilizzati, accessi SSO e storico delle attività dell’account.

Le finalità del trattamento sono le seguenti:

creare e gestire l’account;
consentire l’accesso tramite SSO;
attivare e gestire l’abbonamento Exal Pass;
attribuire e gestire i crediti;
consentire l’accesso alle piattaforme collegate;
fornire assistenza;
gestire sospensioni, disdette, rinnovi, upgrade, pagamenti e comunicazioni di servizio.

Le basi giuridiche sono (a) l’esecuzione del contratto o di misure precontrattuali richieste dall’Utente, (b) l’adempimento di obblighi legali e (c) il legittimo interesse di Exal alla prevenzione di abusi, frodi e uso improprio del servizio.

I dati dell’account sono conservati per tutta la durata del rapporto contrattuale e, dopo la cessazione, per il tempo necessario alla gestione di obblighi legali, amministrativi, fiscali, contabili e di tutela dei diritti, di norma fino a 10 anni per i dati aventi rilevanza civilistica, contabile o fiscale, salvo periodi diversi imposti dalla legge.

Dati fiscali e di fatturazione

Per finalità fiscali, amministrative e contabili, Exal può trattare ragione sociale, Partita IVA, Codice Fiscale, indirizzo di fatturazione, dati necessari alla fatturazione, informazioni sull’ordine, piano acquistato, importi, imposte e documenti fiscali.

Le finalità sono le seguenti:

emettere fatture o documenti fiscali;
adempiere obblighi contabili e tributari; e
gestire pagamenti, incassi, rimborsi, note di credito, controlli amministrativi e obblighi di conservazione documentale.

Le basi giuridiche sono l’adempimento di obblighi legali e l’esecuzione del contratto.

I dati fiscali e contabili sono conservati per un periodo pari a 10 anni, come previsto dalla normativa applicabile.

Dati di pagamento

I pagamenti sono gestiti tramite Stripe o eventuale altro fornitore di servizi di pagamento indicato nel processo di acquisto.

Exal può trattare l’esito del pagamento, ID transazione, piano acquistato, stato dell’abbonamento, informazioni sul metodo di pagamento visibili nel pannello del fornitore di pagamento, eventuali dati antifrode e dati necessari a riconciliare il pagamento.

Exal non tratta integralmente i dati della carta di pagamento, che sono trattati dal fornitore di servizi di pagamento quale autonomo titolare o secondo il ruolo indicato nella relativa documentazione in materia di trattamento dei dati personali.

Le finalità sono le seguenti:

gestire il pagamento;
attivare e rinnovare l’abbonamento;
prevenire frodi;
gestire contestazioni, rimborsi, addebiti non riusciti e obblighi amministrativi.

Le basi giuridiche sono (a) l’esecuzione del contratto, (b) l’adempimento di obblighi legali e (c) il legittimo interesse alla prevenzione di frodi e contestazioni.

I dati di pagamento trattati da Exal sono conservati per il tempo necessario alla gestione del rapporto, dei pagamenti, delle contestazioni e degli obblighi contabili e fiscali, di norma fino a 10 anni ove rilevanti ai fini amministrativi o contabili.

Dati relativi all’utilizzo delle piattaforme collegate

Nell’ambito dell’ecosistema Exal, possono essere trattati i dati relativi alle piattaforme utilizzate, ai corsi o servizi acquistati, ai crediti usati, ai coupon generati, alle prenotazioni effettuate, alle richieste di assistenza, ai log di accesso, alle preferenze Utente e allo storico delle attività.

Le finalità sono le seguenti:

consentire la fruizione dei servizi;
gestire crediti e coupon;
erogare assistenza;
coordinare le piattaforme collegate;
verificare il corretto utilizzo dell’abbonamento;
prevenire abusi e, in generale, migliorare l’esperienza Utente.

Le basi giuridiche sono (a) l’esecuzione del contratto, (b) il legittimo interesse alla sicurezza, (c) prevenzione di frodi e miglioramento dei servizi, e (d) ove richiesto, il consenso dell’Utente.

I dati sono conservati per la durata del rapporto e successivamente per il tempo necessario alla gestione di obblighi legali, reclami, contestazioni e tutela dei diritti.

Dati relativi agli Homely Partner

Se l’Utente candida una struttura come Homely Partner, Exal può trattare dati della struttura, indirizzo, descrizione, fotografie, dotazioni, disponibilità, prezzi, regole della struttura, dati del gestore, codici identificativi nazionali e regionali, eventuali documenti o autorizzazioni e altri dati necessari alla valutazione, pubblicazione e gestione della struttura.

Le finalità sono le seguenti:

valutare la candidatura;
verificare i requisiti;
pubblicare la struttura; e
gestire disponibilità, prenotazioni, reclami, assistenza, rapporti con il gestore, controlli di qualità e adempimenti contrattuali.

Le basi giuridiche sono (a) l’esecuzione del contratto o di misure precontrattuali, (b) l’adempimento di obblighi legali, (c) il legittimo interesse di Exal alla gestione e qualità dell’ecosistema e (d) ove necessario per specifiche pubblicazioni, il consenso dell’Utente.

I dati dei potenziali Homely Partner sono conservati per la durata della candidatura e del rapporto e, successivamente, per il tempo necessario a gestire obblighi legali, contestazioni, reclami e tutela dei diritti.

Dati degli ospiti

Nell’ambito di prenotazioni o servizi collegati a Homely Rent e alle strutture partner, Exal può trattare, ove necessario, dati dell’ospite, dati della prenotazione, messaggi, informazioni legate al check-in, richieste di assistenza e dati necessari alla gestione del soggiorno.

Le finalità sono le seguenti:

gestire la prenotazione;
consentire l’assistenza;
coordinare il rapporto tra Utente, struttura e piattaforme collegate;
gestire reclami, cancellazioni, no-show, richieste operative e adempimenti connessi.

Le basi giuridiche sono (a) l’esecuzione del contratto o di misure precontrattuali, (b) l’adempimento di obblighi legali e (c) il legittimo interesse alla gestione del servizio e alla tutela dei diritti.

I dati degli ospiti sono conservati per il tempo necessario alla gestione della prenotazione e, successivamente, per i termini previsti dalla legge.

Form contatti e assistenza

Quando l’Utente contatta Exal tramite form, e-mail, telefono o altri canali, Exal può trattare nome, cognome, recapiti, contenuto della richiesta, dati dell’account, informazioni sul servizio utilizzato e ogni altro dato comunicato dall’Utente.

Le finalità sono le seguenti:

rispondere alle richieste;
fornire assistenza;
gestire reclami;
risolvere problemi tecnici;
inviare informazioni richieste;
tutelare i diritti di Exal o dell’Utente.

Le basi giuridiche sono (a) l’esecuzione di misure precontrattuali o contrattuali, (b) il legittimo interesse alla gestione delle richieste e (c) ove applicabile, l’adempimento di obblighi legali.

I dati sono conservati per il tempo necessario alla gestione della richiesta e successivamente per il periodo necessario alla tutela dei diritti, di norma non oltre 5 anni, salvo obblighi o eventuali contenziosi in essere.

Newsletter e marketing

Se l’Utente si iscrive alla newsletter o presta consenso al marketing, Exal può trattare nome, cognome, e-mail, telefono, preferenze, consenso prestato, interazioni con le comunicazioni, dati di disiscrizione e informazioni relative ai servizi di interesse.

La finalità è inviare newsletter, comunicazioni promozionali, aggiornamenti commerciali, offerte, informazioni sui servizi Exal, vantaggi partner e iniziative dell’ecosistema Exal.

La base giuridica è il consenso dell’Utente, salvo i casi consentiti dalla normativa applicabile per comunicazioni relative a prodotti o servizi analoghi a quelli già acquistati, con possibilità di opposizione semplice e gratuita.

L’Utente può revocare il consenso o opporsi al marketing in qualsiasi momento utilizzando il link di disiscrizione presente nelle comunicazioni o contattando Exal all’indirizzo di cui all’art. 17.3 della presente Privacy Policy.

I dati per marketing sono conservati fino alla revoca del consenso od opposizione e, in ogni caso, per un periodo non superiore a 5 anni, salvo rinnovo del consenso o diverso termine conforme alla normativa applicabile.

Analytics, cookie e strumenti di tracciamento

Exal può utilizzare cookie, strumenti analytics e tecnologie analoghe per finalità tecniche, statistiche, funzionali, di misurazione, marketing o profilazione, secondo quanto indicato nella Cookie Policy.

I cookie tecnici o strettamente necessari sono utilizzati per consentire il funzionamento del Sito Web e dei servizi richiesti dall’Utente. I cookie analytics, i cookie di profilazione, i pixel di marketing e gli strumenti di terze parti sono utilizzati solo previo consenso dell’Utente, ove presenti.

Le basi giuridiche sono la stretta necessità tecnica o il legittimo interesse alla sicurezza e funzionamento del Sito Web per i cookie tecnici, e il consenso per cookie e tracciatori non tecnici.

Per maggiori informazioni si rinvia alla Cookie Policy, che costituisce parte integrante della presente Privacy Policy per i trattamenti effettuati tramite cookie e strumenti analoghi.

Decisioni automatizzate e profilazione

Exal non adotta, allo stato, decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sull’Utente o incidano in modo analogo significativamente sulla sua persona ai sensi dell’art. 22 del GDPR.

Exal può effettuare attività di profilazione o analisi delle preferenze solo se l’Utente presta un consenso valido, ad esempio tramite cookie di profilazione, strumenti di marketing automation o segmentazione commerciale.

In caso di attivazione di trattamenti automatizzati o profilazione rilevanti ai sensi degli artt. 13, par. 2, lett. f), e 22 del GDPR, Exal aggiornerà la presente Privacy Policy indicando logica utilizzata, importanza e conseguenze previste del trattamento, nonché i diritti dell’Utente.

Destinatari dei dati personali

I dati personali possono essere comunicati a soggetti autorizzati da Exal, collaboratori, consulenti, fornitori tecnici, provider hosting, provider CMS, fornitori SSO, fornitori di e-mail transazionali, fornitori di e-mail marketing, payment provider, channel manager, booking engine, piattaforme collegate, partner commerciali, consulenti fiscali e legali, autorità pubbliche e soggetti cui la comunicazione sia obbligatoria per legge.

A seconda delle informazioni disponibili, i principali fornitori tecnici includono Stripe per i pagamenti, Hostinger per l’hosting del Sito Web, WordPress come tecnologia/CMS del Sito Web, sistema SSO proprietario, Resend.com per e-mail transazionali, MailerLite per e-mail marketing, Beddy come channel manager e booking engine.

I fornitori che trattano dati personali per conto di Exal sono nominati, ove necessario, responsabili del trattamento ai sensi dell’art. 28 del GDPR. Alcuni fornitori possono agire come autonomi titolari del trattamento per specifiche attività, secondo le proprie informative disciplinanti il trattamento dei dati personali.

Trasferimenti di dati fuori dallo Spazio Economico Europeo

Exal può utilizzare fornitori o piattaforme che trattano dati personali anche fuori dallo Spazio Economico Europeo.

In caso di trasferimento di dati personali verso Paesi terzi o organizzazioni internazionali, Exal adotta una delle garanzie previste dagli artt. 44-49 del GDPR, incluse decisioni di adeguatezza della Commissione europea, clausole contrattuali standard, misure supplementari ove necessarie o altre deroghe consentite dalla normativa applicabile.

L’Utente può richiedere informazioni sulle garanzie applicabili ai trasferimenti contattando Exal ai recapiti indicati nella presente Privacy Policy.

Periodi di conservazione

Exal conserva i dati personali per il tempo necessario al perseguimento delle finalità per cui sono raccolti e, successivamente, per adempiere obblighi legali, fiscali, contabili, amministrativi, gestire reclami, prevenire abusi e tutelare diritti.

Decorso il periodo di conservazione, i dati sono cancellati, anonimizzati o aggregati, salvo ulteriore conservazione richiesta o consentita dalla legge.

Diritti degli interessati

L’interessato può esercitare, nei limiti e alle condizioni previste dal GDPR, i seguenti diritti:

diritto di accesso;
diritto di rettifica;
diritto alla cancellazione;
diritto alla limitazione del trattamento;
diritto alla portabilità dei dati;
diritto di opposizione;
diritto di revoca del consenso;
diritto di non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati, ove applicabile.

La revoca del consenso non pregiudica la liceità del trattamento effettuato prima della revoca.

L’interessato può esercitare i propri diritti contattando Exal all’indirizzo privacy@exalgroup.it, Exal risponde alle richieste entro i termini previsti dall’art. 12 del GDPR.

Reclamo al Garante Privacy

L’interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali, con sede in Piazza Venezia 11, 00187 Roma, secondo le modalità indicate sul Sito Web istituzionale dell’Autorità. Resta salvo il diritto dell’interessato di proporre ricorso dinanzi all’autorità giudiziaria competente.

Aggiornamenti della Privacy Policy

Exal può aggiornare la presente Privacy Policy per riflettere modifiche normative, tecniche, organizzative o dei servizi offerti. Gli aggiornamenti saranno pubblicati sul Sito Web e, ove richiesto dalla normativa o opportuno in base alla rilevanza delle modifiche, comunicati agli Utenti con modalità adeguate.