Titolare, responsabile e contatto

SYNSETIO, 6 RUE D'ARMAILLE, 75017 PARIS, France, contact@odybook.com, determina le finalità dei propri trattamenti: account professionali, abbonamento, fatturazione, sicurezza, supporto e relazione commerciale.

Per prenotazioni, partecipanti, messaggi e dati raccolti per un'agenzia o guida, quel professionista determina le finalità. SYNSETIO agisce allora come responsabile su istruzioni documentate.

Dati, fonti e campi obbligatori

I dati account provengono dal professionista o dalla sua organizzazione: identità, email, ruolo, impostazioni, società e fatturazione. I campi richiesti servono per account, contratto, sicurezza o fattura; branding, contenuti e integrazioni sono facoltativi salvo necessità del servizio attivato.

I dati dei viaggiatori provengono dal viaggiatore, dal professionista o da chi prenota per un gruppo: identità, contatti, date, partecipanti, messaggi, preferenze e bisogni comunicati. I dati necessari alla prenotazione sono distinti da quelli opzionali. Comprendono anche la risposta facoltativa a «Come ci ha conosciuti?» e, solo se il viaggiatore accetta «Provenienza della prenotazione» nelle scelte sui cookie della vetrina, o la misurazione del pubblico in quelle della pagina di prenotazione, il modo in cui ha trovato il professionista: i tag di campagna del link seguito (parametri UTM), il sito di provenienza e la prima pagina visitata. Il professionista li usa, sulla base di tale consenso, per capire quali canali portano prenotazioni; senza consenso nulla di ciò viene letto.

I dati tecnici provengono dall'uso del servizio: log, dispositivo, browser, errori, segnali di sicurezza, scelte cookie ed eventi applicativi.

Finalità e basi giuridiche

Account e abbonamento professionale: contratto con cliente persona fisica; interesse legittimo per gestire rappresentanti, dipendenti o collaboratori di un'organizzazione cliente.
Fatturazione SYNSETIO: contratto e obblighi legali contabili o fiscali.
Prenotazioni e messaggi dei viaggiatori: istruzioni del professionista titolare; contratto o altra base definita da quel professionista verso il viaggiatore.
Supporto, sicurezza, prevenzione abusi e prova contrattuale: interesse legittimo, contratto o obbligo legale secondo il contesto.
Prospezione: consenso quando richiesto; interesse legittimo per certe comunicazioni B2B pertinenti, con opposizione semplice.
Cookie analitici o pubblicitari non esenti: consenso preventivo e revocabile.

Destinatari e ruoli dei fornitori

I dati possono essere trattati da Vercel per hosting, Supabase per dati applicativi, Stripe come prestatore di pagamento che può agire anche da titolare indipendente per obblighi regolatori, Resend per email, Upstash/Redis per funzioni tecniche, Functional Software Inc. / Sentry GmbH per il monitoraggio tecnico degli errori e la stabilità applicativa (dati ospitati nell'Unione europea), Google Calendar se collegato dal cliente, OpenAI per le funzioni di assistenza IA, Cloudflare per i backup cifrati del database (preparati sui server di esecuzione di GitHub), e strumenti di analitica solo se attivati.

SYNSETIO non vende dati personali a reti pubblicitarie. I luoghi di hosting sono indicati nella sezione seguente.

Dove sono ospitati i dati

I luoghi seguenti sono stati verificati in produzione l'8 ottobre 2026.

Applicazione: Vercel, regione di Parigi (Francia).
Instradamento delle richieste e file statici: rete globale di Vercel. Indirizzo IP, indirizzo richiesto e intestazioni tecniche delle richieste sono trattati in una sede Vercel, di solito la più vicina; può trovarsi fuori dallo Spazio economico europeo, in particolare se si naviga dall'esterno. Nelle pagine dell'account (accesso, registrazione, dashboard e amministrazione), quella sede verifica anche la sessione presso il database: l'identificativo dell'account e l'indirizzo e-mail vi transitano brevemente, senza esservi conservati.
Database, autenticazione e file archiviati: Supabase, Francoforte (Germania).
Codici di accesso temporanei, cache e limiti antiabuso: Upstash, Francoforte (Germania).
Email transazionali: Resend, inviate dalla sua regione Irlanda.
Monitoraggio degli errori: Sentry, dati ospitati in Germania.
Log tecnici: Vercel, le cui principali strutture di trattamento sono negli Stati Uniti.
Pagamenti: Stripe Payments Europe Ltd (Irlanda); Stripe può trattare dati anche negli Stati Uniti.
Backup del database: preparati sui runner di GitHub (GitHub, Inc., Stati Uniti), poi cifrati e archiviati su Cloudflare R2.
Assistenza IA, quando usata: OpenAI (Stati Uniti). Google Calendar, se collegato: Google (Stati Uniti).

Trasferimenti internazionali

La maggior parte di questi fornitori appartiene a gruppi con sede fuori dallo Spazio economico europeo, principalmente negli Stati Uniti; i dati ospitati nell'Unione europea possono quindi essere consultati dall'esterno, ad esempio per assistenza, sicurezza o richieste legali. Garanzie: Vercel è certificato secondo il quadro UE-USA per la protezione dei dati (Data Privacy Framework) e il suo accordo sul trattamento dei dati include le clausole contrattuali standard della Commissione europea; Supabase Pte. Ltd (Singapore) si basa sulle clausole contrattuali standard; Sentry si basa sul Data Privacy Framework e sulle clausole contrattuali standard; gli altri fornitori si basano su una decisione di adeguatezza o sulle clausole contrattuali standard previste dalle loro condizioni di trattamento, con eventuali misure supplementari. Contattare contact@odybook.com per destinatari e paesi relativi al proprio utilizzo e una copia delle garanzie; i diritti di terzi possono richiedere oscuramenti.

Tempi di conservazione

Account professionale: durata dell'account, poi periodo ragionevole di uscita per esportazione, chiusura e prova, salvo archivio legale o controversia.
Fatture e registri contabili: 10 anni dalla chiusura dell'esercizio interessato.
Prove contrattuali, accettazioni, incidenti e crediti: periodo necessario per esecuzione, prova e difesa legale secondo prescrizioni applicabili.
Prospezione: al massimo tre anni dalla raccolta o dall’ultimo contatto avviato dal potenziale cliente, salvo revoca od opposizione precedente. Può essere conservata una lista minima di esclusione per evitare nuove sollecitazioni.
Log tecnici e backup: periodi limitati da sicurezza, diagnostica, continuità e cicli tecnici documentati.
Report di errori e prestazioni (Sentry): 30 giorni, poi cancellazione automatica.
Prenotazioni non completate (bozze): 30 giorni dopo l'ultima modifica.
Iscrizioni in lista d'attesa: 90 giorni dopo la data richiesta.
Statistiche di utilizzo del prodotto e conteggio dell'uso dell'IA: 25 mesi. Le richieste e le risposte dell'IA non vengono conservate.
Statistiche delle visite delle vetrine (totali giornalieri per pagina, tipo di dispositivo e paese, senza identificativo del visitatore né provenienza): 25 mesi.
Origine della prenotazione (tag di campagna del link seguito, sito di provenienza e prima pagina visitata): 25 mesi dopo la prenotazione, poi cancellata. La risposta a «Come ci ha conosciuto?» resta con la prenotazione. La cancellazione dei dati di un viaggiatore elimina entrambe.
Notifiche dell'app Guide Companion: 90 giorni.
Registro di audit dei permessi del team: 2 anni.
Richieste di contatto: 3 anni dopo l'ultimo scambio.

Diritti delle persone

Le persone possono chiedere accesso, rettifica, cancellazione, limitazione, opposizione, portabilità o revoca quando tali diritti si applicano. Le richieste vanno a contact@odybook.com; se riguardano un venditore professionale, SYNSETIO può inoltrare o assistere quel professionista.

SYNSETIO risponde entro un mese. Per richieste complesse o numerose, una proroga motivata fino a due mesi viene notificata entro il primo mese. È possibile presentare reclamo alla CNIL: https://www.cnil.fr/.

Cookie, minori e assistenza IA

I cookie necessari supportano il servizio. I tracciatori non esenti sono impostati solo dopo una scelta, modificabile dall'interfaccia prevista.

Le vetrine contano le pagine viste per il professionista senza cookie, senza identificativo del visitatore né banner di consenso, nelle condizioni fissate dalla CNIL per la misurazione dell'audience: sono conservati solo la pagina, il tipo di dispositivo e il paese, come totali giornalieri. Il sito di provenienza serve solo per un istante a distinguere una nuova visita da una pagina vista e non viene mai conservato, e l'indirizzo IP è usato solo per un istante contro gli abusi e non viene mai conservato. SYNSETIO agisce come responsabile del trattamento, non mette mai in comune queste statistiche tra professionisti e non le riutilizza mai. I visitatori possono opporsi dall'informativa privacy della vetrina, e i browser che inviano Global Privacy Control non vengono contati.

Quando segui un link di invito, un cookie proprietario conserva il codice di referral per 30 giorni affinché l'invito si applichi alla tua registrazione. È necessario per il servizio che hai richiesto e non viene usato per il tracciamento.

Il monitoraggio di errori e prestazioni (Sentry) funziona anche nel browser, senza cookie né archiviazione locale. Sulla base del legittimo interesse di SYNSETIO alla sicurezza e alla stabilità del servizio, invia dati tecnici: indirizzo della pagina privo di parametri sensibili, tipo di browser e dispositivo, dettagli dell'errore e, per un campione delle pagine visualizzate, tempi di caricamento e di risposta. Indirizzi IP e identità dell'account non sono conservati in questi report. È possibile opporsi scrivendo a contact@odybook.com.

Odybook si rivolge a professionisti, ma una prenotazione familiare può contenere dati di minori. Bisogni di salute, disabilità o allergie devono essere limitati al necessario per l'attività e trattati nel quadro del professionista titolare.

Le funzioni di assistenza IA devono minimizzare i dati trasmessi ed evitare informazioni sensibili finché contratti, fornitori e impostazioni non permettono quel trattamento.