Privacy Policy

Ultimo aggiornamento: 22 agosto 2026 · Versione beta

1. Titolare del trattamento

[ragione sociale in corso di costituzione] — contatto privacy: privacy@ciropark.com.

2. Quali dati trattiamo e perché

Non trattiamo categorie particolari di dati e non facciamo profilazione pubblicitaria.

2-bis. La posizione durante un passaggio

La posizione in tempo reale è il dato più delicato che trattiamo: dice dove sei adesso. Per questo il trattamento è circoscritto su quattro lati, e i limiti sono scritti nel software, non solo qui.

• Quando. Solo dopo l'assegnazione di un posto e solo finché quel passaggio è in corso. Prima non esiste; alla chiusura (completato, annullato o segnalato) i dati di posizione vengono cancellati, non archiviati.
• Con chi. Solo con l'altra parte di quel passaggio. Nessun altro utente la vede, e nessuna funzione della Piattaforma la mostra al pubblico.
• Per quanto. Ogni posizione scade da sola dopo pochi minuti (3 minuti) se non viene aggiornata: passato quel tempo non è più leggibile da nessuno e viene rimossa da una procedura automatica periodica. Non conserviamo lo storico degli spostamenti né ricostruiamo percorsi: teniamo l'ultima posizione, non la traccia.
• Base giuridica. Esecuzione del contratto (art. 6.1.b GDPR): trovarsi è la prestazione stessa. L'accesso al sensore del dispositivo richiede in ogni caso il permesso del sistema operativo, che puoi negare o revocare in ogni momento dalle impostazioni del telefono; il passaggio resta possibile coordinandosi in chat.

Il punto del parcheggio è un dato diverso: è quello dichiarato al momento della pubblicazione, resta fisso e riguarda un luogo, non una persona.

Il codice di consegna e la distanza dal parcheggio rilevata nel momento in cui viene inserito sono conservati insieme alla transazione (§ 4): sono la prova che il passaggio è avvenuto e servono a decidere un'eventuale contestazione. Registriamo la distanza in quell'istante, non la posizione.

2-ter. Il numero di telefono

Il numero che indichi in registrazione serve a noi per le comunicazioni di servizio (SMS di verifica e avvisi). Non viene mostrato all'altra parte di un passaggio: il coordinamento avviene nella chat dell'app.

Se in futuro introdurremo la possibilità di chiamarsi, sarà subordinata al consenso esplicito di entrambe le parti (art. 6.1.a GDPR), limitata alla durata del singolo passaggio e revocabile in ogni momento; il consenso verrà registrato e cancellato alla chiusura del passaggio. Fino ad allora nessun numero personale viene comunicato ad altri utenti.

2-quater. Le valutazioni e l'indice di affidabilità

Dopo un passaggio completato chiediamo a entrambe le parti quattro risposte sì/no su come è andata (art. 3-quater dei Termini). Sono dati personali riferiti a due persone insieme: chi risponde e chi viene valutato. Per questo il trattamento è delimitato così.

• Le singole risposte non escono mai. Non sono mostrate agli altri utenti, non sono mostrate alla persona valutata — che quindi non sa chi ha risposto che cosa — e non compaiono in alcuna schermata pubblica. Nel database non esiste alcuna via d'accesso a quelle righe per le applicazioni degli utenti: il limite è imposto dal sistema, non dalle schermate.
• Che cosa vedono gli altri. Soltanto un indice aggregato e il numero di valutazioni ricevute. Finché le valutazioni ricevute sono meno di tre, non mostriamo né l'indice né i conteggi che lo compongono: con pochi dati un aggregato lascerebbe risalire alla risposta di una singola persona.
• Nessuna decisione automatizzata. L'indice è calcolato dal sistema, ma non produce da solo effetti giuridici o similmente significativi ai sensi dell'art. 22 GDPR: è un'informazione mostrata agli altri utenti. Sospensioni e altre misure sono valutate da persone, caso per caso (art. 6 dei Termini).
• Verificabilità e rettifica. L'indice si ricava dalle risposte ricevute con un criterio costante ed è ricalcolabile in ogni momento: puoi chiederci come è composto il tuo. Se una valutazione è falsa o ritorsiva puoi segnalarcelo: accertato l'abuso viene rimossa e l'indice ricalcolato.
• Base giuridica. Esecuzione del contratto per la raccolta al termine del passaggio; legittimo interesse (art. 6.1.f GDPR) alla sicurezza degli scambi per la pubblicazione dell'indice aggregato, che è ciò che permette a chi non ti conosce di decidere se salire in strada a incontrarti.

2-quinquies. Gli avvisi nell'app

L'app tiene un elenco degli avvisi che ti riguardano: che l'altra persona sta arrivando o è arrivata, che il posto è pronto, che hai ricevuto una candidatura, che sei stato scelto, che è arrivata un'offerta volontaria. Oggi restano dentro l'app: non inviamo notifiche push di sistema.

• Contenuto minimo. Salviamo il tipo di avviso, il passaggio a cui si riferisce e pochi parametri per comporre il testo (un nome, dei minuti, un importo). Mai il tuo telefono, la tua email, le coordinate di una posizione o il codice di consegna.
• Solo tuoi. Ogni avviso è leggibile unicamente dalla persona a cui è destinato, e anche questo limite è imposto dal database.
• Cancellazione automatica. Gli avvisi più vecchi di 90 giorni vengono eliminati da una procedura automatica: un elenco che cresce per sempre sarebbe un archivio dei tuoi spostamenti che nessuno ha chiesto di conservare.
• Se in futuro introdurremo le notifiche push, richiederanno il permesso del sistema operativo, revocabile in ogni momento, e questa informativa verrà aggiornata prima di attivarle.

2-sexies. Le foto dei posti privati

Chi pubblica un posto privato può corredare l'annuncio con un massimo di 5 foto. Sono contenuti caricati da te, e valgono tre regole semplici.

• Sono pubbliche quanto l'annuncio. Le foto servono a far conoscere un posto in affitto: chi vede l'annuncio vede le foto. Non pubblicarle mai contando su una riservatezza che un annuncio, per sua natura, non ha.
• Ritraggono un luogo, non una persona. Fotografa lo spazio — il garage, il cancello, l'accesso. Ti chiediamo di non includere persone, targhe o beni riconducibili a terzi: se te ne accorgi dopo, rimuovi la foto dall'app (puoi farlo in ogni momento) o scrivici.
• Si cancellano davvero. Una foto rimossa sparisce dall'annuncio e i file vengono eliminati; tutte le foto di un posto vengono cancellate — riferimenti e file — quando elimini il posto o l'account (§ 4-bis).

2-septies. La descrizione d'accesso ai posti privati

Chi affitta un posto privato può descrivere nell'annuncio come si entra: il cancello, il telecomando, un codice, le istruzioni per raggiungere il box. È un'informazione che, in mani sbagliate, apre la proprietà di qualcuno: per questo è l'unico dato dell'annuncio che non è pubblico, e il suo perimetro è scritto nel software.

• Chi la vede. Solo due persone: il proprietario del posto e chi ha una prenotazione confermata su quel posto — che deve entrare, e quindi deve sapere come. Non compare mai nell'annuncio pubblico, mai nei risultati di ricerca, mai a chi sta soltanto valutando se prenotare.
• Quando. Solo finché la prenotazione è in corso. A prenotazione conclusa — completata o annullata — chi aveva prenotato non la vede più: a posto riconsegnato, il come-si-entra torna a essere un segreto del proprietario.
• Come è custodita. Come le risposte alle valutazioni (§ 6): nel database vive in un'area senza alcuna via d'accesso per le applicazioni degli utenti. Esce solo dal nostro servizio, che decide a chi mostrarla secondo le due regole qui sopra — il limite è imposto dal sistema, non dalle schermate.
• Che fine fa. Il proprietario può modificarla o rimuoverla in ogni momento dall'app; viene cancellata quando elimina il posto o l'account (§ 4-bis). Non resta negli archivi delle prenotazioni passate.

Tutto il resto dell'annuncio — indirizzo, tipo di posto, dimensioni, veicolo massimo, piano, ZTL, ammissione dei veicoli GPL, servizi, foto — è pubblico quanto l'annuncio, perché serve a chi decide se prenotare (§ 2-sexies vale anche qui: descrivi lo spazio, non le persone).

2-octies. Le statistiche di reciprocità delle offerte volontarie

Sui posti in strada nessun pagamento è dovuto: dopo un passaggio completato, chi ha ricevuto il posto può lasciare — se vuole — un'offerta volontaria (art. 3.6 dei Termini). Perché il modello resti sostenibile, chi deve scegliere a chi lasciare il posto vede di ogni candidato quanto ha ricambiato in passato. Sono dati personali mostrati ad altri utenti, e il loro perimetro è questo.

• Che cosa calcoliamo. Tre contatori: quanti posti hai ricevuto (solo passaggi effettivamente completati con la doppia conferma), in quanti di questi hai poi lasciato un'offerta, e il loro valore complessivo — da cui percentuale e valore medio. Non registriamo a fini di mostra i singoli episodi: agli altri arrivano solo gli aggregati.
• Chi li vede, e quando. Chi sta scegliendo fra i candidati del proprio posto vede percentuale e valore medio di ciascun candidato, accanto a nome e affidabilità. Non compaiono in nessuna schermata pubblica: la fila dei candidati resta anonima per chiunque non debba scegliere.
• La soglia. Finché hai ricevuto meno di tre posti non mostriamo alcun numero — l'app dice soltanto «Nuovo utente». Su pochi episodi una percentuale direbbe più sul caso che su di te, e uno «0%» dopo un solo passaggio sarebbe una calunnia aritmetica.
• Nessun obbligo, nessuna decisione automatizzata. Non offrire è una scelta legittima: non produce penali, solleciti né limitazioni del servizio — l'unico effetto è il numero che ne risulta. La statistica è un'informazione mostrata a un'altra persona, che sceglie liberamente; nessuna misura automatica ne deriva (art. 22 GDPR).
• Cancellazione. Se elimini l'account, i contatori di reciprocità vengono azzerati insieme al profilo (§ 4-bis): sono dati riferiti a te, e spariscono con te.
• Base giuridica. Esecuzione del contratto per il conteggio; legittimo interesse (art. 6.1.f GDPR) alla sostenibilità e sicurezza degli scambi per la pubblicazione dell'aggregato a chi deve scegliere — la stessa logica dell'indice di affidabilità (§ 2-quater).

2-nonies. Gli addebiti che avvengono senza una tua conferma

Sui posti privati esistono due casi in cui una somma può essere addebitata senza che tu tocchi nulla. Sono gli unici del servizio, e questa sezione esiste per dire esattamente che cosa trattiamo per farli e che cosa puoi fare tu.

• Mancata conferma dell'accesso. Se la prenotazione arriva alla sua ora di fine senza che tu abbia confermato l'accesso e senza che tu abbia segnalato nulla, trascorsi 60 minuti l'importo già autorizzato viene incassato per il proprietario (art. 3-bis dei Termini). Trattiamo: l'ora di fine, l'assenza di conferma e di segnalazioni, l'istante dell'addebito e il fatto che le condizioni ti erano state mostrate prima che tu confermassi la prenotazione.
• Penale per superamento dell'orario. Non deriva mai da una nostra rilevazione: non abbiamo alcun modo di sapere se un veicolo sia ancora in uno spazio privato — nessun sensore, nessuna sbarra, nessuna posizione. Nasce soltanto da una segnalazione del proprietario (art. 6.2 dei Termini). Trattiamo: chi ha segnalato, fino a quando lo spazio è risultato occupato secondo la sua dichiarazione, i minuti e l'importo che ne derivano, e l'esito dell'addebito.

Il diritto all'intervento umano (art. 22 GDPR). L'esecuzione di questi due addebiti è automatizzata e produce effetti economici su di te. Avviene nell'ambito dell'esecuzione del contratto che hai concluso prenotando, e su condizioni che ti sono state mostrate prima della conferma. In ogni caso, e sempre:

• ricevi un avviso nell'app con l'importo e la ragione — nel caso della penale, prima che la somma venga movimentata;
• puoi ottenere l'intervento di una persona, esprimere la tua posizione e contestare l'addebito, dall'avviso stesso o dal dettaglio della prenotazione, entro 14 giorni (art. 6.3 dei Termini);
• la contestazione è esaminata da una persona: nessuno storno e nessun rigetto sono decisi automaticamente;
• nessuna sospensione o limitazione dell'account consegue automaticamente da un addebito non riuscito: quelle restano decisioni umane, valutate caso per caso.

Non usiamo questi dati per profilarti né per prendere altre decisioni automatiche sul tuo conto.

2-decies. Le richieste di contatto di chi ha un posto da affittare

La pagina Affitta il tuo posto ha un modulo: chi ha un garage ci lascia un nome e un modo per essere richiamato. È l'unico trattamento di questa informativa che riguarda persone che non sono utenti — nessun account, nessun contratto in corso, nessuna app installata — e per questo ha una sezione sua.

• Che cosa raccogliamo. Il nome, un recapito a tua scelta (un numero di telefono oppure un'email: un campo solo, scrivi come preferisci), e — se vuoi, sono facoltativi entrambi — la zona del posto e una nota libera. A questi si aggiunge la provenienza del link con cui sei arrivato: dice se hai letto un volantino, un biglietto, se ti ha invitato qualcuno che usa già CIRO o se sei arrivato dal sito. Non dice chi sei.
• Che cosa NON raccogliamo. Non salviamo il tuo indirizzo IP né il tuo browser o dispositivo insieme alla richiesta: nella riga non ci sono e non ci passano. L'IP viene usato solo per contare quante richieste arrivano da una stessa connessione nel giro di un'ora — è il contatore anti-abuso descritto nella tabella del § 2, vive al massimo 24 ore, si cancella da sé ed è tenuto separato da ciò che hai scritto. Non c'è nessun consenso al marketing da spuntare, perché non facciamo marketing: quello che ci lasci serve a richiamarti, e basta.
• Perché possiamo farlo. Perché sei stato tu a chiedere di essere ricontattato: sono misure precontrattuali adottate su tua richiesta (art. 6.1.b GDPR). Non è consenso, non è legittimo interesse, e non serve una casella da spuntare: la base giuridica è il tuo stesso invio.
• Chi le legge. Solo noi, da una dashboard interna. Le richieste sono la tabella più chiusa del nostro database: nessuna applicazione — né il sito, né l'app, né l'account di nessun utente — può leggerle, e non si tratta di una schermata che abbiamo scelto di non fare, ma di una regola imposta dal database stesso (§ 6). Se abbiamo configurato una notifica interna, il contenuto della tua richiesta ci viene inoltrato anche per email tramite Resend (§ 3).
• Per quanto le teniamo. 12 mesi (365 giorni) dall'invio. Poi vengono eliminate da una procedura automatica che gira ogni notte: non è una promessa, è un meccanismo (§ 4).
• Come le fai cancellare, subito. Basta dirlo — quando ti chiamiamo, oppure scrivendo a privacy@ciropark.com. Non devi creare un account per farti cancellare, e non ti chiediamo di giustificare la richiesta. Valgono comunque tutti i diritti del § 5.

3. Chi tratta i dati per noi

Usiamo fornitori che agiscono da responsabili o autonomi titolari, tutti con garanzie GDPR:

• Supabase (database, autenticazione e archiviazione delle foto — dati in UE, regione Francoforte/Parigi)
• Stripe (pagamenti)
• Resend (email transazionali — regione UE)
• Twilio (SMS di servizio)
• Vercel (hosting dell'API) e GitHub (hosting del sito)
• MapTiler / OpenStreetMap-Nominatim / OpenFreeMap (mappa e ricerca indirizzi: le query di ricerca contengono l'indirizzo cercato)

Alcuni fornitori possono trattare dati fuori dall'UE sulla base di Clausole Contrattuali Standard.

4. Per quanto conserviamo i dati

• Dati dell'account: finché l'account è attivo. Puoi eliminare l'account direttamente dall'app: la cancellazione è immediata (§ 4-bis) — e in ogni caso garantita entro 30 giorni dalla richiesta.
• Dati delle transazioni: 10 anni (obblighi fiscali e contabili). Vi rientrano il fatto che un codice di consegna sia stato usato, quando, e a quale distanza dal parcheggio.
• Posizioni in tempo reale di un passaggio: minuti. Ogni posizione scade 3 minuti dopo l'ultimo aggiornamento e viene rimossa da una procedura automatica; tutte le posizioni di un passaggio vengono cancellate nel momento in cui il passaggio si chiude. Non confluiscono nello storico delle transazioni e non vengono usate per altre finalità (§ 2-bis).
• Risposte alle valutazioni: conservate finché è attivo l'account della persona valutata, perché sono la base verificabile del suo indice di affidabilità — un indice che non si può ricalcolare non è contestabile. Quando quell'account viene eliminato, vengono cancellate subito, insieme all'indice (§ 4-bis).
• Avvisi nell'app: 90 giorni, poi eliminati da una procedura automatica (§ 2-quinquies).
• Segnalazioni di spazio occupato e registro degli addebiti automatici: rientrano nei dati delle transazioni (10 anni). Non è una scelta di comodo: sono la prova di che cosa è stato addebitato, perché, e che le condizioni erano state mostrate prima della prenotazione — cioè esattamente ciò che serve a rispondere a una tua contestazione, o a difenderti (§ 2-nonies).
• Statistiche di reciprocità: contatori aggregati, conservati finché l'account è attivo; azzerati quando lo elimini (§ 2-octies e § 4-bis). Le offerte volontarie in quanto pagamenti rientrano nei dati delle transazioni (10 anni).
• Foto dei posti privati: finché l'annuncio le mostra — eliminate quando le rimuovi, quando elimini il posto o quando elimini l'account (§ 2-sexies).
• Descrizione d'accesso di un posto privato: finché l'annuncio la contiene — modificabile e rimovibile in ogni momento; eliminata quando elimini il posto o l'account (§ 2-septies). Chi ha prenotato la vede solo finché la prenotazione è in corso.
• Richieste di contatto dal modulo «Affitta il tuo posto»: 12 mesi (365 giorni) dall'invio, poi eliminate da una procedura automatica che gira ogni notte. Puoi chiederne la cancellazione prima, anche solo dicendocelo al telefono quando ti richiamiamo (§ 2-decies).
• Contatori tecnici anti-abuso: al massimo 24 ore, poi eliminati da una procedura automatica.
• Messaggi e telemetria: massimo 24 mesi, poi aggregati o cancellati.

4-bis. La cancellazione dell'account

Puoi eliminare il tuo account direttamente dall'app (Profilo → Elimina account), senza scrivere a nessuno. La cancellazione è immediata, e tiene insieme le due promesse di questa informativa: la persona sparisce subito, la contabilità resta i 10 anni che la legge ci impone (§ 4).

• Cosa sparisce subito. Le credenziali di accesso (il login viene eliminato), nome, email e telefono — il profilo resta solo come riga anonima «Utente eliminato» —, il metodo di pagamento salvato presso Stripe, le posizioni condivise, gli avvisi, le richieste di assistenza, le foto dei tuoi posti (file compresi), le descrizioni d'accesso dei tuoi posti (§ 2-septies), le valutazioni che hai ricevuto, insieme al tuo indice di affidabilità (§ 2-quater e § 4), e le tue statistiche di reciprocità, azzerate col profilo (§ 2-octies).
• Cosa resta, e perché. Le transazioni, per 10 anni (obblighi fiscali e contabili): riferite alla riga anonimizzata, dicono che una transazione c'è stata — non più chi eri. Restano anche gli indici di affidabilità delle persone con cui hai completato dei passaggi: le valutazioni che hai dato continuano a contare nei loro aggregati, senza il tuo nome.
• Quando bisogna aspettare. Con una transazione in corso (un passaggio attivo, una prenotazione confermata, un'offerta in piedi) la cancellazione non parte: l'app spiega quale impegno la blocca e dove chiuderlo. Un saldo prelevabile va prelevato prima; un saldo non prelevabile può essere rinunciato, ma solo con un consenso esplicito e separato.

5. I tuoi diritti

Puoi chiedere in ogni momento accesso, rettifica, cancellazione, limitazione, portabilità e opposizione scrivendo a privacy@ciropark.com. Hai inoltre diritto di reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Questi diritti valgono anche se non hai un account: se ci hai lasciato una richiesta di contatto dalla pagina Affitta il tuo posto, puoi chiederci di mostrartela, correggerla o cancellarla allo stesso indirizzo — o semplicemente dircelo quando ti richiamiamo (§ 2-decies).

6. Sicurezza

Connessioni cifrate (TLS), accesso ai dati tramite politiche di sicurezza a livello di riga sul database, chiavi e segreti custoditi fuori dal codice, pagamenti tokenizzati presso Stripe.

Sulle posizioni dei passaggi le stesse politiche impongono le tre condizioni del § 2-bis — essere una delle due parti, passaggio ancora in corso, posizione non scaduta — direttamente nel database: valgono per ogni via d'accesso, non solo per le schermate dell'app. Il codice di consegna non è leggibile dall'applicazione di chi deve inserirlo: se lo fosse, non proverebbe nulla.

Le risposte alle valutazioni seguono la stessa logica, portata al limite: nessuna applicazione utente le legge dal database, per nessun utente e in nessun caso. L'unica via è il nostro servizio, che restituisce a ciascuno soltanto le risposte che ha scritto lui; verso tutti gli altri — compresa la persona valutata — escono unicamente in forma aggregata, dentro l'indice. Gli avvisi sono leggibili solo dal destinatario, e anche questo limite è imposto dal database. La descrizione d'accesso di un posto privato è custodita allo stesso modo: nessuna applicazione utente la legge dal database; esce solo dal nostro servizio, e solo verso il proprietario o chi ha una prenotazione confermata in corso su quel posto (§ 2-septies).

Le richieste di contatto di chi ha un posto da affittare (§ 2-decies) sono il caso più stretto di tutti: la regola sul database non concede la lettura a nessun utente autenticato, senza eccezioni e senza condizioni da verificare. Chi ci scrive dal modulo non ha un account, quindi non esiste nessuno a cui quelle righe possano appartenere: l'unica via d'accesso è la nostra dashboard interna.