INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

Ai sensi e per gli effetti degli articoli 13 e 14 del Regolamento (UE) 2016/679 (di seguito, «GDPR») e del D.Lgs. 30 giugno 2003 n. 196, come modificato dal D.Lgs. 101/2018 (di seguito, «Codice Privacy»), Wondersun, in qualità di Titolare del trattamento, fornisce le informazioni di seguito indicate a tutti i soggetti che interagiscono con la piattaforma digitale Wondersun (di seguito, la «Piattaforma»), accessibile all'indirizzo www.wondersun.it. La presente informativa si applica agli Utenti, ai Fornitori e ai visitatori del sito. Le Definizioni e le nozioni di cui all'Allegato 1 del Contratto per servizi di promozione, visibilità digitale e generazione di contatti commerciali e di cui all'Allegato 1 del Contratto per la fornitura del Servizio digitale costituiscono parte integrante della presente informativa e si intendono qui integralmente richiamate. Ai fini della presente informativa, i termini «dato personale», «trattamento», «interessato», «titolare del trattamento», «responsabile del trattamento», «destinatario» e «consenso» hanno il significato attribuito dall'art. 4 del GDPR.

Art. 1 — Titolare del trattamento

1.1. Titolare del trattamento è Ginevra Emanuele, titolare dell'impresa individuale Wondersun, P.IVA 01775230533, con sede in Via Maestrale n. 12, 58019 Porto Ercole, Monte Argentario (GR).

1.2. Il Titolare può essere contattato per ogni questione relativa al trattamento dei dati personali ai seguenti recapiti:

Email: wondersun.localescape@gmail.com

PEC: Ginevraemanuele@postecertifica.it

1.3. Wondersun non ha designato un Responsabile della protezione dei dati (DPO), non ricorrendone i presupposti obbligatori ai sensi dell'art. 37 GDPR.

Art. 2 — Categorie di interessati e dati trattati

2.1. Wondersun tratta i seguenti dati personali degli Utenti registrati alla Piattaforma:

a) nome, cognome, indirizzo e-mail e, se conferito, numero di telefono;

b) credenziali di accesso, conservate in forma cifrata, e preferenze dichiarate;

c) dati relativi a ciascuna Richiesta di prenotazione: esperienza selezionata, Fornitore, data, orario, numero di partecipanti, note comunicate;

d) dati relativi al pagamento del Corrispettivo digitale, limitatamente all'identificativo della transazione, all'importo e all'esito. I dati completi degli strumenti di pagamento sono trattati esclusivamente da Stripe e non sono raccolti né conservati dalla Piattaforma;

e) testo delle conversazioni e delle richieste rivolte all'assistente virtuale «Sole».

2.2. Wondersun tratta i seguenti dati personali dei Fornitori:

a) denominazione dell'attività, nome e cognome del titolare o legale rappresentante, codice fiscale, P.IVA, indirizzo, recapiti telefonici, e-mail, PEC e, se conferita, utenza WhatsApp;

b) contenuti pubblicati nella Scheda: descrizioni, immagini, condizioni, prezzi, disponibilità; c) dati di fatturazione, coordinate bancarie e documentazione amministrativa trasmessa ai sensi dell'art. 11 del Contratto Fornitore (autorizzazioni, licenze, polizze assicurative).

2.3. Wondersun tratta i dati di navigazione e tecnici (indirizzo IP, identificativi del dispositivo e del browser, log di sistema, data e ora di accesso) e i dati raccolti mediante cookie e tecnologie analoghe, secondo quanto descritto nella Cookie Policy.

Art. 3 — Finalità del trattamento e basi giuridiche

3.1. I dati degli Utenti sono trattati per le seguenti finalità, fondate sulle corrispondenti basi giuridiche ai sensi dell'art. 6 GDPR:

a) registrazione, gestione dell'account e del rapporto contrattuale: art. 6, par. 1, lett. b) — esecuzione del contratto e di misure precontrattuali;

b) erogazione del Servizio digitale (invio e gestione delle Richieste di prenotazione, trasmissione al Fornitore, inoltro della risposta all'Utente): art. 6, par. 1, lett. b) — esecuzione del contratto;

c) incasso del Corrispettivo digitale tramite Stripe: art. 6, par. 1, lett. b) — esecuzione del contratto;

d) funzionamento dell'assistente virtuale «Sole» e generazione di suggerimenti: art. 6, par. 1, lett. b) — esecuzione del contratto, e art. 6, par. 1, lett. f) — legittimo interesse al miglioramento del servizio;

e) invio di comunicazioni di servizio relative alle Richieste: art. 6, par. 1, lett. b) — esecuzione del contratto;

f) adempimenti fiscali, contabili e amministrativi: art. 6, par. 1, lett. c) — obbligo legale;

g) sicurezza della Piattaforma e prevenzione di frodi: art. 6, par. 1, lett. f) — legittimo interesse;

h) accertamento, esercizio o difesa di un diritto in sede giudiziaria: art. 6, par. 1, lett. f) — legittimo interesse;

i) profilazione e personalizzazione dei suggerimenti: art. 6, par. 1, lett. a) — consenso, prestato con le modalità di cui all'Informativa su Profilazione e Consenso;

j) invio di comunicazioni promozionali e newsletter, se attivate: art. 6, par. 1, lett. a) — consenso.

3.2. I dati dei Fornitori sono trattati per le finalità di gestione del rapporto contrattuale, pubblicazione e mantenimento della Scheda, fatturazione (art. 6, par. 1, lett. b), GDPR) e per gli adempimenti fiscali (art. 6, par. 1, lett. c), GDPR).

3.3. I dati dei visitatori sono trattati per garantire il funzionamento tecnico e la sicurezza della Piattaforma (art. 6, par. 1, lett. f), GDPR) e, limitatamente ai cookie tecnici, per l'esecuzione dei servizi richiesti (art. 6, par. 1, lett. b), GDPR).

3.4. Il trattamento basato sul legittimo interesse è preceduto da una valutazione di bilanciamento tra l'interesse del Titolare e i diritti e le libertà dell'interessato, della quale può essere richiesta evidenza ai recapiti di cui all'art. 1.

Art. 4 — Natura del conferimento

4.1. Il conferimento dei dati necessari per la registrazione, l'erogazione del Servizio digitale e la gestione del rapporto contrattuale è obbligatorio: il mancato conferimento preclude l'utilizzo delle relative funzionalità.

4.2. Il conferimento dei dati per finalità di profilazione e per comunicazioni promozionali è facoltativo. Il rifiuto non pregiudica l'accesso alla Piattaforma né la fruizione del Servizio digitale.

Art. 5 — Modalità del trattamento e misure di sicurezza

5.1. Il trattamento è effettuato con strumenti elettronici e automatizzati, per il tempo strettamente necessario alle finalità di cui all'art. 3, nel rispetto dei principi di liceità, correttezza, minimizzazione e limitazione della conservazione di cui all'art. 5 GDPR.

5.2. Il Titolare adotta le misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui: cifratura delle credenziali e dei dati in transito, controllo degli accessi su base di ruolo, segregazione degli ambienti, registrazione degli accessi, backup periodici e procedure di ripristino.

Art. 6 — Destinatari e responsabili del trattamento

6.1. Per l'erogazione del Servizio digitale, il Titolare si avvale dei seguenti fornitori, che trattano i dati in qualità di responsabili del trattamento ai sensi dell'art. 28 GDPR, sulla base di apposito accord (Data Processing Agreement): Responsabile Funzione Ubicazione dati Garanzia trasferimento Hosting, database, Irlanda, UE (AWS eu-west- Supabase autenticazione, archiviazione contenuti 1) Nessun trasferimento extra-UE — DPA da formalizzare via PandaDoc Gestione Stripe pagamento del del USA — DPF certificato. Controparte europea: Stripe Trasferimento lecito ex art. 45 Corrispettivo digitale (Irlanda) Payments Europe Limited GDPR Resend Invio di transazionali Meta Invio di e-mail USA — DPF certificato notifiche USA — DPF certificato Platforms WhatsApp (Fornitori) Trasferimento lecito ex art. 45 GDPR Trasferimento lecito ex art. 45 GDPR Responsabile Funzione Ubicazione dati Garanzia trasferimento Elaborazione Anthropic suggerimenti assistente USA — DPF certificato «Sole» Vercel Hosting e distribuzione applicazione Francoforte, UE Trasferimento lecito ex art. 45 GDPR. I dati inviati all'IA non sono utilizzati per addestramento modelli e sono cancellati automaticamente entro circa 30 giorni Nessun trasferimento extra-UE Sviluppo, gestione Ilaria Cesarini tecnica e manutenzione Grosseto, Italia Nessun trasferimento extra-UE della Piattaforma

6.2. I dati sono inoltre trattati da professionisti e consulenti del Titolare in qualità di responsabili o titolari autonomi e comunicati ad autorità pubbliche ove imposto dalla legge.

6.3. I dati personali dell'Utente sono trasmessi al Fornitore dell'esperienza selezionata limitatamente a quanto necessario per la gestione della Richiesta. Il Fornitore li tratta in qualità di titolare autonomo ai sensi dell'art. 19 del Contratto Fornitore.

Art. 7 — Trasferimento di dati verso Paesi terzi

7.1. I responsabili che trattano dati al di fuori dello Spazio Economico Europeo operano in presenza di una decisione di adeguatezza della Commissione europea ai sensi dell'art. 45 GDPR (Data Privacy Framework — Stripe, Anthropic, Meta, Resend).

7.2. Copia delle garanzie può essere richiesta ai recapiti di cui all'art. 1.

Art. 8 — Conservazione dei dati

8.1. I dati sono conservati per il tempo necessario alle finalità di cui all'art. 3 e, in ogni caso:

a) dati dell'account e delle Richieste: per la durata del rapporto contrattuale e per i 24 (ventiquattro) mesi successivi alla cessazione, ai sensi dell'art. 2946 c.c.; b) dati fiscali e contabili: per 10 (dieci) anni, ai sensi dell'art. 2220 c.c.; c) log tecnici e di sicurezza: per 12 (dodici) mesi dalla registrazione; d) conversazioni con «Sole»: per 12 (dodici) mesi dall'ultima interazione; e) dati trattati su consenso (profilazione e, se attive, comunicazioni promozionali): fino alla revoca e comunque non oltre 24 (ventiquattro) mesi dall'ultima interazione con la Piattaforma.

8.2. Allo spirare dei termini di conservazione, i dati sono cancellati o resi irreversibilmente anonimi.

Art. 9 — Diritti dell'interessato

9.1. L'interessato può esercitare in ogni momento i seguenti diritti, nei limiti e alle condizioni previste dagli artt. 15-22 GDPR:

a) accesso ai propri dati (art. 15); b) rettifica dei dati inesatti (art. 16); c) cancellazione nei casi previsti (art. 17); d) limitazione del trattamento (art. 18); e) portabilità dei dati (art. 20); f) opposizione al trattamento fondato sul legittimo interesse (art. 21); g) revoca del consenso in qualsiasi momento, senza pregiudizio per la liceità del trattamento effettuato prima della revoca (art. 7, par. 3).

9.2. La Piattaforma mette a disposizione, nell'area personale, funzioni dedicate per scaricare i propri dati ed eliminare l'account.

9.3. I diritti possono essere esercitati scrivendo ai recapiti di cui all'art. 1. Il Titolare fornisce riscontro entro 1 (un) mese, prorogabile di 2 (due) mesi in casi di particolare complessità, ai sensi dell'art. 12, par. 3, GDPR. Il riscontro è gratuito, salvo il caso di richieste manifestamente infondate o eccessive ai sensi dell'art. 12, par. 5, GDPR.

9.4. L'interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR) e di ricorrere all'autorità giudiziaria (art. 79 GDPR).

Art. 10 — Assistente virtuale «Sole» e sistema di IA

10.1. La Piattaforma si avvale di un assistente virtuale basato su intelligenza artificiale («Sole») che fornisce suggerimenti sulle esperienze disponibili. I suggerimenti non costituiscono decisioni produttive di effetti giuridici ai sensi dell'art. 22 GDPR: ogni Richiesta di prenotazione è subordinata alla conferma del Fornitore e l'Utente conserva il pieno controllo delle proprie scelte.

10.2. In conformità all'art. 50 del Regolamento (UE) 2024/1689 (AI Act), i contenuti generati da «Sole» recano apposita dicitura che ne segnala la natura artificiale. Per maggiori dettagli si rinvia all'Informativa sulla Trasparenza dell'IA.

10.3. Il fornitore del modello (Anthropic) opera in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di Data Processing Addendum incorporato nei Commercial Terms of Service. I dati inviati a «Sole» non sono utilizzati per l'addestramento dei modelli e sono cancellati automaticamente da Anthropic entro circa 30 giorni, in forza dei termini contrattuali standard. Il trasferimento dei dati negli Stati Uniti avviene sul fondamento dell'EU-US Data Privacy Framework, con trasferimento lecito ai sensi dell'art. 45 GDPR.

Art. 11 — Minori

11.1. La registrazione alla Piattaforma e la conclusione del Contratto per la fornitura del Servizio digitale richiedono la maggiore età.

11.2. Ai sensi dell'art. 2-quinquies del Codice Privacy, Wondersun esclude la registrazione da parte di minori di 14 (quattordici) anni. In fase di registrazione, la Piattaforma richiede la data di nascita e impedisce il completamento della procedura ai soggetti che dichiarino un'età inferiore.

11.3. I dati personali di minori possono essere conferiti esclusivamente da un soggetto maggiorenne titolare della responsabilità genitoriale, nell'ambito di una Richiesta di prenotazione che includa partecipanti minorenni. In tal caso, i dati sono trattati per la sola gestione della Richiesta, sulla base dell'art. 6, par. 1, lett. b), GDPR, e non sono in alcun caso utilizzati per finalità di profilazione.

Art. 12 — Violazioni dei dati personali

12.1. Wondersun ha adottato procedure per la gestione delle violazioni dei dati personali e provvede, nei casi previsti, alla notifica al Garante entro 72 (settantadue) ore ai sensi dell'art. 33 GDPR e alla comunicazione agli interessati ai sensi dell'art. 34 GDPR.

Art. 13 — Cookie

13.1. La Piattaforma utilizza cookie e tecnologie analoghe secondo quanto descritto nella Cookie Policy, che costituisce parte integrante della presente informativa ed è accessibile dal footer della Piattaforma.

Art. 14 — Modifiche

14.1. Il Titolare si riserva di aggiornare la presente informativa per sopravvenute esigenze normative od organizzative, dandone evidenza sulla Piattaforma. Si invita a consultarla periodicamente. Ultimo aggiornamento: 13 luglio 2026.