REGISTRO DEI TRATTAMENTI FORNITORI-PROMOTORI (GDPR – Art.30)

Titolare del trattamento: Lake Como App administrated by cod.dest KRRH6B9

P.IVA: IT04037730134

Lake Como App administrated by cod.dest KRRH6B9

Via Gorizia 2, 22070 Luisago, CO, IT

---

1. Identità e Contatti del Titolare

Titolare: Lake Como App administrated by cod.dest KRRH6B9

Piattaforma: Operators Boat Rental Console

Sede legale: Via Gorizia 2, 22070 Luisago, CO, IT

Email generale: info@lakecomoapp.com

Email privacy: info@lakecomoapp.com

Website: https://www.lakecomoapp.com

DPO nominato: No

Rappresentante UE: Non applicabile (titolare stabilito in UE)

---

2. Ruoli Privacy nei Flussi Operativi

Attore	Ruolo GDPR	Note
Lake Como App administrated by cod.dest KRRH6B9	Titolare	Merchant of Record
Cliente	Interessato	Consumatori / passeggeri
Fornitori	Titolari autonomi	Accesso ai dati per erogazione servizio
Promoter	Delegati alla riscossione	Non trattano dati pagamento
Stripe Payments	Titolare indipendente	PCI-DSS / AML
Stripe Connect	Responsabile	Settlement & Payout
Sentry	Responsabile	Monitoraggio applicativo
Zoho Mail	Responsabile	Comunicazioni email
Hotjar	Responsabile	Analytics UI
Google Analytics	Responsabile	Analytics statistico
WhatsApp Business	Responsabile	Assistenza clienti

---

3. Tipologie di Interessati

• Clienti finali (passeggeri)
• Fornitori / operatori
• Promoter
• Utenti registrati della piattaforma
• Personale interno (limitatamente alla gestione)

---

4. Tipologie di Dati Trattati

4.1 Dati identificativi

• nome
• cognome
• email
• telefono

4.2 Dati fiscali

• indirizzo per fatture
• codice fiscale (se richiesto)
• partita IVA fornitori
• IBAN fornitori per settlement

4.3 Dati di prenotazione

• orario
• data
• luogo pickup/dropoff
• numero passeggeri
• note logistiche

4.4 Dati di pagamento

Gestiti tramite Stripe:

• importo
• metodo di pagamento
• transazione
• rimborso
• dispute/chargeback

4.5 Dati tecnici

• IP
• User-Agent
• cookie tecnici
• log accessi
• device
• sessione

4.6 Dati supporto

• messaggi email
• messaggi whatsapp
• richieste assistenza

---

5. Finalità del Trattamento e Base Giuridica

Finalità	Base Art.6 GDPR
Registrazione utente	6(1)(b) Contratto
Prenotazioni	6(1)(b) Contratto
Pagamenti	6(1)(b) Contratto
Fatturazione	6(1)(c) Obbligo legale
Settlement fornitori	6(1)(b) Contratto
Dispute & chargeback	6(1)(f) Interesse legittimo
Supporto clienti	6(1)(b) Contratto
Analisi prodotto	6(1)(f) Interesse legittimo
Sicurezza e logs	6(1)(f) Interesse legittimo
Prevenzione frodi	6(1)(f)
Conservazione fiscale	6(1)(c)
Audit e difesa in giudizio	6(1)(f)

Trattamenti non presenti:

• marketing
• profilazione
• remarketing
• cold outreach

---

6. Destinatari / Sub-Processor

Provider	Servizio	Localizzazione	Meccanismo
DigitalOcean	Hosting	UE/USA	SCC
Stripe Payments	Pagamenti	UE/USA	SCC + PCI-DSS
Stripe Connect	Settlement	UE/USA	SCC
Zoho	Email	UE/India	SCC
Sentry	Monitoring	USA	SCC
Hotjar	Analytics UI	UE/USA	SCC
Google Analytics	Analytics	UE/USA	SCC
WhatsApp Business	Supporto	USA/IE	SCC

---

7. Trasferimenti Extra UE

Modalità implementate:

• Standard Contractual Clauses (SCC)
• DPA fornitori
• PCI-DSS (pagamenti Stripe)
• Nessuna decisione di adeguatezza USA

---

8. Tempi di Conservazione

Dato	Retention
Dati fiscali clienti	10 anni
Pagamenti (Stripe)	10 anni
Prenotazioni	36 mesi
Supporto	12 mesi
Logs tecnici	6-18 mesi
Fornitori (KYC Stripe)	10 anni
Documentazione reclami	36 mesi o fino a risoluzione
Backups	definizione in corso

---

9. Misure Tecniche e Organizzative (TOM)

• HTTPS obbligatorio
• Password hashed
• Separazione ruoli
• Rate limiting
• Firewall/WAF
• Log accessi e audit
• Stripe PCI-DSS Level 1
• Nessun dato carta memorizzato
• Backup locale (in corso offsite)
• Access control basato su privilegi minimi
• Error monitoring (Sentry)
• Supervisione servizi
• Incident handling in formalizzazione

---

10. DPIA (Data Protection Impact Assessment)

Valutazione:

• Nessuna categoria art.9
• Nessuna profilazione
• Nessun scoring
• Nessun minore
• Nessun trattamento ad alto rischio

Esito: DPIA non obbligatoria ai sensi art.35 GDPR.

---

11. Trattamento di Minori

La piattaforma non è destinata a minori. Nessun dato di minori trattato intenzionalmente.

---

12. Cookie e Tracking

• Nessun marketing
• Analytics statistico (GA)
• Heatmap statistica (Hotjar)
• Banner solo per categoria analitica non strettamente necessaria

---

13. Note su Fornitori (B2B)

I fornitori sono Titolari autonomi per l’erogazione del servizio al cliente finale.

---

14. Base Normativa Applicabile

• Regolamento UE 2016/679 (GDPR)
• D.lgs. 196/2003 come modificato dal D.lgs. 101/2018
• Linee Guida EDPB
• Provvedimenti del Garante Privacy

---

15. Registro dei Responsabili ex Art. 28

Responsabile	Contratto/DPA	Trasferimento	Note
Stripe	Sì	SCC	PCI-DSS, AML
DigitalOcean	Sì	SCC	Cloud/Hosting
Zoho	Sì	SCC	Email
WhatsApp	Sì	SCC	Supporto
Google	Sì	SCC	Analytics
Hotjar	Sì	SCC	Analisi UI
Sentry	Sì	SCC	Monitoring

---

16. Esercizio dei Diritti dell’Interessato

Modalità previste:

• Richiesta via email al titolare
• Supporto via canale WhatsApp/Email
• Cancellazione account lato utente (in roadmap)
• Accesso e rettifica tramite contatto diretto
• Nessun consenso marketing da revocare

Diritti previsti:

• Accesso (art. 15)
• Rettifica (art. 16)
• Cancellazione (art. 17)
• Limitazione (art. 18)
• Portabilità (art. 20)
• Opposizione (art. 21)
• Reclamo presso Garante

---

17. Valutazione dei Rischi e Misure di Mitigazione

Rischio basso:

• gestione account
• gestione prenotazioni
• logistica operativa

Rischio medio:

• pagamenti (mitigati da Stripe PCI-DSS)
• trasferimenti extra UE (mitigati da SCC)

Rischio alto:

• nessuno rilevato

---

18. Validità e Aggiornamento

Ultimo aggiornamento del registro: 01-2026 Responsabile dell’aggiornamento: Lake Como App administrated by cod.dest KRRH6B9

---