Privacy policy

Ultimo aggiornamento: 28 ottobre 2026

1. Titolare del trattamento

• Titolare: STRADAIOLI LORENZO
• Nome commerciale: DUPASSI
• P.IVA: 03359480591
• Sede: Piazza Aldo Moro 1, 04011 Aprilia (LT), Italia
• Email: info@dupassi.it
• Email privacy: info@dupassi.it

La presente Privacy Policy descrive le modalità di trattamento dei dati personali degli utenti che consultano il sito web www.dupassi.it (di seguito, il «Sito»). È resa ai sensi dell'art. 13 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003 («Codice Privacy»), come modificato dal D.Lgs. 101/2018.

2. Dati personali raccolti

2.1 Dati di navigazione

I sistemi informatici che consentono il funzionamento del Sito acquisiscono, nel corso del loro normale esercizio, alcuni dati la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet, tra cui:

• indirizzo IP;
• tipo di browser e sistema operativo;
• indirizzo della pagina richiesta;
• data e orario della richiesta;
• codice di risposta del server.

Tali dati sono utilizzati al solo fine di garantire il corretto funzionamento del Sito e la sua sicurezza, e non sono impiegati per finalità di profilazione. Al fine di prevenire invii automatizzati e abusi del modulo di contatto, l'indirizzo IP dell'utente viene inoltre registrato in forma pseudonimizzata, mediante una funzione crittografica che non consente di risalire all'indirizzo originario.

2.2 Dati forniti volontariamente dall'utente

L'utente che contatta il Titolare tramite il modulo «Scrivici» presente nella pagina Contatti fornisce i seguenti dati:

• nome e cognome;
• indirizzo email;
• testo del messaggio.

I medesimi dati sono trattati quando l'utente scrive direttamente all'indirizzo info@dupassi.it o contatta il Titolare per telefono. Si invita l'utente a non inserire nel messaggio dati relativi alla salute o altre categorie particolari di dati ai sensi dell'art. 9 del GDPR.

2.3 Dati raccolti tramite cookie e strumenti di terze parti

Previo consenso dell'utente, il Sito carica strumenti di terze parti che raccolgono dati relativi alla navigazione:

• Meta Pixel, fornito da Meta Platforms Ireland Ltd: identificativi presenti nei cookie, indirizzo IP, informazioni sul browser e sul dispositivo, pagine visitate del Sito;
• Google Tag Manager, fornito da Google Ireland Limited: strumento che gestisce il caricamento del Meta Pixel e che riceve l'indirizzo IP e le informazioni sul browser;
• Calendario di Komoot, fornito da komoot GmbH: contenuto incorporato che mostra le escursioni in programma.

In assenza di consenso nessuno di tali strumenti viene caricato. Le pagine Contatti e quelle di prenotazione non caricano strumenti di terze parti neppure in presenza di consenso. Il dettaglio è riportato nella Cookie Policy.

2.4 Iscrizione alle escursioni

L'iscrizione e il pagamento delle escursioni avvengono sulla piattaforma Komoot, raggiungibile dal Sito. Il Sito non raccoglie dati di iscrizione né dati di pagamento. Per i trattamenti effettuati da Komoot si rinvia alla Privacy Policy di Komoot (si apre in una nuova scheda). I dati dei partecipanti che il Titolare riceve per l'organizzazione dell'escursione sono trattati per le finalità indicate al punto 3.

2.5 Prenotazione dei viaggi

I viaggi di più giorni possono essere prenotati direttamente dal Sito. L'utente che prenota fornisce i seguenti dati:

• nome e cognome;
• indirizzo email, al quale riceve il link personale alla propria prenotazione;
• numero di telefono, per le comunicazioni urgenti relative al viaggio;
• data di nascita, per l'assicurazione del viaggio;
• genere, per l'assegnazione delle camere.

Il Sito registra inoltre l'accettazione delle condizioni di viaggio, con la data e una copia del testo accettato, lo stato della prenotazione e l'esito del pagamento (importo, data e identificativo dell'operazione). Il modulo non prevede campi di testo libero: si invita l'utente a non comunicare dati relativi alla salute, che ove necessari sono raccolti dall'agenzia al di fuori del Sito. La prenotazione online è riservata ai maggiorenni.

Il pagamento avviene sulla pagina di Stripe, sul conto dell'agenzia di viaggi che organizza il viaggio. I dati della carta di pagamento sono trattati esclusivamente da Stripe e non transitano né vengono conservati sul Sito.

3. Finalità del trattamento e base giuridica

I dati personali sono trattati per le seguenti finalità:

Funzionamento e sicurezza del Sito
Erogazione delle pagine, prevenzione di abusi e di invii automatizzati, protezione dei sistemi.
Base giuridica: legittimo interesse del Titolare (art. 6.1.f GDPR)

Riscontro alle richieste dell'utente
Risposta ai messaggi inviati tramite il modulo di contatto, via email o per telefono, anche in vista dell'eventuale partecipazione a un'escursione.
Base giuridica: esecuzione di misure precontrattuali adottate su richiesta dell'interessato (art. 6.1.b GDPR)

Organizzazione delle escursioni
Gestione dei partecipanti, comunicazioni relative all'escursione, variazioni organizzative e comunicazioni di sicurezza.
Base giuridica: esecuzione del contratto (art. 6.1.b GDPR) e adempimento di obblighi legali (art. 6.1.c GDPR)

Gestione delle prenotazioni dei viaggi
Raccolta della prenotazione, gestione dei posti e della lista d'attesa, invio del link per il pagamento, conferme, promemoria e comunicazioni relative al viaggio prenotato.
Base giuridica: esecuzione del contratto e di misure precontrattuali adottate su richiesta dell'interessato (art. 6.1.b GDPR)

Misurazione e ottimizzazione delle campagne pubblicitarie
Rilevazione delle visite al Sito tramite il Meta Pixel, al fine di misurare l'efficacia delle inserzioni su Facebook e Instagram e di mostrare inserzioni pertinenti agli utenti che hanno visitato il Sito.
Base giuridica: consenso dell'interessato (art. 6.1.a GDPR e art. 122 Codice Privacy)

Visualizzazione di contenuti di terze parti
Caricamento del calendario delle escursioni fornito da Komoot.
Base giuridica: consenso dell'interessato (art. 6.1.a GDPR e art. 122 Codice Privacy)

Gestione di reclami e controversie
Eventuale accertamento, esercizio o difesa di un diritto in sede giudiziaria.
Base giuridica: legittimo interesse del Titolare (art. 6.1.f GDPR)

Il conferimento dei dati di cui al punto 2.5 è necessario per prenotare un viaggio dal Sito: in sua assenza la prenotazione non può essere effettuata.

Il conferimento dei dati di cui al punto 2.2 è facoltativo, ma in sua assenza non è possibile dare riscontro alla richiesta. Il consenso agli strumenti di cui al punto 2.3 è facoltativo e può essere revocato in qualsiasi momento: il rifiuto non impedisce la consultazione del Sito.

4. Modalità di trattamento

I dati personali sono trattati con strumenti automatizzati e manuali, con logiche strettamente correlate alle finalità indicate e in modo da garantirne la sicurezza e la riservatezza. Non sono effettuati processi decisionali automatizzati, compresa la profilazione, ai sensi dell'art. 22 del GDPR.

Misure di sicurezza adottate

Il Titolare adotta misure tecniche e organizzative adeguate a proteggere i dati personali da accessi non autorizzati, perdita, distruzione o divulgazione, tra cui:

• Crittografia SSL/TLS: tutte le comunicazioni tra il browser e il Sito avvengono tramite protocollo HTTPS;
• Localizzazione dei dati: database e archivio delle immagini risiedono su server situati nell'Unione europea;
• Controllo degli accessi: l'area riservata del Sito è accessibile esclusivamente al personale autorizzato, mediante credenziali personali conservate in forma cifrata;
• Copie di sicurezza: i dati sono salvati quotidianamente in copie cifrate, conservate per 30 giorni;
• Rimozione dei metadati: dalle immagini caricate sul Sito vengono rimossi i metadati incorporati, compresi quelli di geolocalizzazione;
• Consenso preventivo: nessuno strumento di terze parti viene caricato prima del consenso dell'utente.

5. Comunicazione e diffusione dei dati

5.1 Destinatari dei dati

I dati personali potranno essere comunicati alle seguenti categorie di destinatari:

• Guide Ambientali Escursionistiche (GAE) di Dupassi, per l'organizzazione e la gestione delle escursioni e dei viaggi;
• l'agenzia di viaggi che organizza il viaggio, indicata nelle condizioni di viaggio di ciascun viaggio, alla quale sono comunicati i dati delle prenotazioni per la conclusione e l'esecuzione del contratto di viaggio, l'incasso dei pagamenti e gli adempimenti fiscali e assicurativi;
• Stripe Payments Europe Ltd, con sede in Irlanda, che gestisce il pagamento dei viaggi sul conto dell'agenzia;
• Vercel Inc., quale fornitore del servizio di hosting del Sito, con server situati a Francoforte (Germania);
• Supabase Inc., quale fornitore del database e dell'archivio delle immagini, con server situati a Francoforte (Germania);
• Sendinblue SAS (Brevo), con sede in Francia, per l'invio delle email relative alle prenotazioni e delle notifiche dei messaggi ricevuti tramite il modulo di contatto;
• GitHub Inc., per la conservazione delle copie di sicurezza, che custodisce in forma cifrata e senza accesso al loro contenuto;
• Autorità pubbliche e organi di vigilanza, quando richiesto per obbligo di legge.

Vercel Inc., Supabase Inc., Sendinblue SAS e GitHub Inc. operano in qualità di responsabili del trattamento ai sensi dell'art. 28 del GDPR.

L'agenzia di viaggi tratta i dati delle prenotazioni in qualità di titolare autonomo, per le proprie finalità e secondo la propria informativa, i cui riferimenti sono indicati nelle condizioni di viaggio. Stripe tratta i dati di pagamento per conto dell'agenzia e secondo la Privacy Policy di Stripe (si apre in una nuova scheda).

I dati raccolti tramite il Meta Pixel sono trattati da Meta Platforms Ireland Ltd. Per la sola fase di raccolta e trasmissione di tali dati, il Titolare e Meta Platforms Ireland Ltd agiscono in qualità di contitolari del trattamento ai sensi dell'art. 26 del GDPR; i trattamenti successivi sono effettuati da Meta in qualità di titolare autonomo, secondo la Privacy Policy di Meta (si apre in una nuova scheda). Google Ireland Limited e komoot GmbH trattano i dati raccolti tramite i rispettivi strumenti secondo le proprie informative.

5.2 Trasferimento dati extra-UE

Alcuni fornitori (in particolare Vercel Inc., Supabase Inc. e GitHub Inc., nonché le società dei gruppi Meta, Google e Stripe) hanno sede negli Stati Uniti e potrebbero trasferire i dati al di fuori dello Spazio Economico Europeo.

Il Titolare garantisce che tali trasferimenti avvengono nel rispetto del GDPR mediante:

• la decisione di adeguatezza della Commissione europea del 10 luglio 2023 (EU-U.S. Data Privacy Framework), per i fornitori che vi hanno aderito;
• in alternativa, le clausole contrattuali standard approvate dalla Commissione europea.

I dati personali non saranno in alcun modo diffusi pubblicamente.

6. Periodo di conservazione dei dati

I dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalità per cui sono stati raccolti:

Messaggi inviati tramite il modulo di contatto

• Conservati per 6 mesi dalla ricezione e successivamente cancellati in modo automatico
• Le copie di sicurezza li trattengono per un massimo di ulteriori 30 giorni

Comunicazioni via email

• Conservate nella casella info@dupassi.it per il tempo necessario a gestire la richiesta e i rapporti che ne derivano

Dati di navigazione e log tecnici

• Conservati per un periodo limitato, non superiore a 30 giorni
• Indirizzo IP pseudonimizzato per la prevenzione degli abusi: non oltre 24 ore

Dati raccolti tramite cookie e strumenti di terze parti

• Per la durata indicata nella Cookie Policy

Dati delle prenotazioni dei viaggi

• Conservati per 24 mesi dalla fine del viaggio e successivamente resi anonimi in modo automatico: restano solo il numero delle prenotazioni e gli importi, che non consentono di identificare nessuno
• Le copie di sicurezza li trattengono per un massimo di ulteriori 30 giorni
• I dati comunicati all'agenzia di viaggi sono conservati da quest'ultima secondo la propria informativa e gli obblighi di legge, ad esempio per i documenti fiscali

Dati dei partecipanti alle escursioni

• Per il tempo necessario all'organizzazione dell'escursione e, successivamente, per il periodo previsto dagli obblighi di legge

Decorsi i termini di conservazione indicati, i dati verranno cancellati o resi anonimi in modo irreversibile, salvo diverso obbligo di legge.

7. Cookie e tecnologie simili

Il Sito utilizza cookie tecnici, per i quali non è richiesto il consenso dell'utente ai sensi delle Linee guida del Garante del 10 giugno 2021, e, previo consenso, cookie e strumenti di terze parti per finalità di marketing e per la visualizzazione di contenuti esterni.

Al primo accesso al Sito un banner consente di accettare, rifiutare o personalizzare il consenso, con la medesima evidenza. La chiusura del banner o la prosecuzione della navigazione non valgono come consenso. Le preferenze possono essere modificate in qualsiasi momento tramite il link «Preferenze cookie» presente in fondo a ogni pagina.

L'elenco completo è riportato nella Cookie Policy.

8. Diritti dell'interessato (GDPR)

Ai sensi degli articoli 15-22 del GDPR, l'interessato ha diritto di:

• Diritto di accesso (art. 15): ottenere conferma che sia o meno in corso un trattamento di dati personali e, in tal caso, ottenere l'accesso ai dati e alle informazioni relative a finalità, categorie di dati, destinatari e periodo di conservazione;
• Diritto di rettifica (art. 16): ottenere la rettifica dei dati personali inesatti e l'integrazione di quelli incompleti;
• Diritto alla cancellazione (art. 17): ottenere la cancellazione dei dati personali nei casi previsti dalla legge, salvo che la conservazione sia necessaria per adempiere un obbligo legale;
• Diritto di limitazione (art. 18): ottenere la limitazione del trattamento nei casi previsti dalla legge;
• Diritto alla portabilità dei dati (art. 20): ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali forniti al Titolare, e trasmetterli a un altro titolare;
• Diritto di opposizione (art. 21): opporsi in qualsiasi momento al trattamento fondato sul legittimo interesse del Titolare, per motivi connessi alla propria situazione particolare;
• Diritto di revoca del consenso: revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca. Il consenso ai cookie si revoca tramite il link «Preferenze cookie».

Come esercitare i diritti

Per esercitare uno o più dei diritti sopra elencati, l'interessato può inviare una richiesta scritta a:

Email: info@dupassi.it

Per i dati delle prenotazioni dei viaggi che l'agenzia tratta come titolare autonomo, i diritti possono essere esercitati anche nei confronti dell'agenzia, ai recapiti indicati nelle condizioni di viaggio.

Il Titolare fornirà riscontro alla richiesta entro un mese dal ricevimento. Tale termine potrà essere prorogato di ulteriori due mesi in caso di particolare complessità della richiesta, dandone comunicazione motivata all'interessato entro il primo mese.

Nota: per garantire la sicurezza, potrebbe essere richiesta la verifica dell'identità dell'interessato prima di dare seguito alla richiesta.

9. Modifiche alla Privacy Policy

Il Titolare si riserva il diritto di apportare modifiche alla presente Privacy Policy in qualsiasi momento. Le modifiche potranno rendersi necessarie per:

• adeguamento a nuove normative o linee guida delle Autorità;
• introduzione di nuove funzionalità o servizi;
• modifica delle modalità di trattamento dei dati;
• cambio di fornitori di servizi.

In caso di modifiche sostanziali, gli utenti verranno informati mediante avviso ben visibile sul Sito e, ove necessario, sarà richiesto nuovamente il consenso.

Si consiglia di consultare periodicamente questa pagina per verificare eventuali aggiornamenti.

Data ultima modifica: 28 ottobre 2026

10. Reclami all'Autorità Garante

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, gli interessati che ritengano che il trattamento dei dati personali a loro riferiti avvenga in violazione del GDPR hanno il diritto di proporre reclamo all'Autorità di controllo competente.

Per l'Italia, l'Autorità competente è:

Garante per la Protezione dei Dati Personali
Piazza Venezia, 11 - 00187 Roma (RM)
Telefono: +39 06 696771
Email: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Sito web: www.garanteprivacy.it (si apre in una nuova scheda)

Il reclamo può essere presentato tramite il modulo online disponibile sul sito del Garante, tramite raccomandata A/R o tramite PEC.

Si precisa che la presentazione del reclamo non preclude la possibilità di adire l'Autorità giudiziaria competente.