Informativa sulla privacy

1. Titolare del trattamento

• Titolare: Niki Baffi
• NIF (codice fiscale spagnolo): Y1845703J
• Sede: Calle Virgen de la Cabeza nº 3, 29007 Málaga, Spagna
• Sito web: erasmusguru.com
• Email: hola@erasmusguru.com

2. I dati che trattiamo

Se visiti il Sito senza creare un account, i sistemi di hosting possono registrare automaticamente dati tecnici di accesso (indirizzo IP, tipo di browser, pagine visitate, data e ora) per finalità di sicurezza e manutenzione.

Se decidi di creare un account su ErasmusGuru trattiamo i seguenti dati personali:

• Email (obbligatoria): per accedere, verificare la tua identità e inviarti comunicazioni di servizio (verifica dell'email, reimpostazione della password, conferma di eliminazione dell'account).
• Password: non la conserviamo mai in chiaro. Salviamo un hash crittografico (PBKDF2-SHA256, 210.000 iterazioni, salt unico per ogni utente). Non possiamo recuperarla; se la dimentichi si reimposta via email.
• Identificativo esterno di Google (google_sub), se scegli di accedere con Google: identificativo unico del tuo account Google che non rivela dati del tuo profilo personale.
• Dati di profilo facoltativi: nome visualizzato, biografia, URL dell'avatar, anno accademico Erasmus, città di destinazione, università di destinazione. Li inserisci tu e puoi modificarli o svuotarli in qualsiasi momento dal tuo profilo.
• Guide salvate: le pagine che segni con il pulsante segnalibro (paesi, città, università, guide, alloggi).
• Sessioni attive: identificativo opaco di sessione, indirizzo IP sottoposto ad hash con HMAC-SHA256 (irreversibile), intestazione User-Agent, data di creazione e di ultima attività.
• Stato della newsletter: se hai dato il consenso con doppio opt-in, data di conferma e, se del caso, data di disiscrizione.

3. Finalità e base giuridica del trattamento

• Account e profilo: esecuzione del contratto (art. 6.1.b GDPR) — fornirti l'account, salvare le tue preferenze e darti accesso all'area riservata.
• Newsletter: consenso esplicito e preventivo con doppio opt-in (art. 6.1.a GDPR). Puoi revocarlo in qualsiasi momento.
• Log tecnici e prevenzione degli abusi: legittimo interesse a garantire la sicurezza del Sito (art. 6.1.f GDPR).
• Adempimento di obblighi di legge (fiscali, di revisione, richieste dell'autorità giudiziaria): art. 6.1.c GDPR.

4. Sub-responsabili del trattamento e trasferimenti internazionali

Per far funzionare il servizio condividiamo alcuni dei tuoi dati con i seguenti fornitori (i «sub-responsabili del trattamento»). Tutti dispongono di garanzie adeguate per i trasferimenti internazionali e offrono accordi sul trattamento dei dati (DPA):

Non vendiamo né cediamo i tuoi dati a terzi per finalità pubblicitarie o di profilazione, e non mostriamo pubblicità comportamentale. Usiamo invece Google Analytics 4 per misurare l'uso del sito, oltre ai widget di terze parti elencati nella tabella qui sopra. Il dettaglio dei cookie che installano, e come rifiutarli, è nell'Informativa sui cookie.

5. Tempi di conservazione

6. I tuoi diritti

Ai sensi del Regolamento (UE) 2016/679 (GDPR) e della legge organica spagnola 3/2018 (LOPDGDD) hai i seguenti diritti. Puoi esercitarli direttamente dal sito oppure scrivendoci a hola@erasmusguru.com:

• Accesso e portabilità (artt. 15 e 20): scarica un JSON con tutti i tuoi dati da Il mio account → Il mio profilo → Privacy e dati → Scarica i miei dati.
• Rettifica (art. 16): modifica il tuo profilo in Il mio account → Il mio profilo.
• Cancellazione o «diritto all'oblio» (art. 17): elimina il tuo account da Il mio account → Il mio profilo → Privacy e dati → Elimina il mio account. Anonimizziamo la tua email, eliminiamo profilo, guide salvate e sessioni, e annulliamo la tua iscrizione alla newsletter. Conserviamo un identificativo interno anonimizzato (senza dati personali) per esigenze di revisione.
• Limitazione del trattamento (art. 18): contattaci.
• Opposizione (art. 21) — newsletter: con un clic sul link Disiscriviti presente in ogni email, oppure da Il mio account → Il mio profilo → Privacy e dati → Newsletter.
• Revoca del consenso (art. 7.3): in qualsiasi momento.

Se ritieni che trattiamo i tuoi dati in modo scorretto puoi presentare un reclamo alla AEPD, l'autorità spagnola per la protezione dei dati, su www.aepd.es. In quanto residente in Italia puoi rivolgerti anche al Garante per la protezione dei dati personali.

7. Sicurezza tecnica

Applichiamo misure tecniche e organizzative ragionevoli per proteggere le tue informazioni:

• Traffico cifrato con TLS 1.3 in ogni momento (Cloudflare).
• Password sottoposte ad hash con PBKDF2-SHA256 (210.000 iterazioni, salt unico di 16 byte per ogni utente). Non le vediamo mai e non possiamo recuperarle.
• Token di sessione opachi da 256 bit, conservati in un cookie HttpOnly, Secure, SameSite=Lax.
• Validazione crittografica completa dei token di Google (RS256, JWKS, controllo di issuer e audience).
• Limitazione dei tentativi sugli endpoint di autenticazione (rate limiting per IP).
• Protezione CSRF sulle operazioni di scrittura (validazione dell'intestazione Origin/Referer).
• IP di sessione sottoposto ad hash con HMAC-SHA256 (non conserviamo IP in chiaro).

8. Modifiche a questa informativa

Possiamo aggiornare questa Informativa sulla privacy quando cambiano il Sito o la normativa applicabile. La data di ultimo aggiornamento in alto indica quando sono state fatte le modifiche più recenti. Se i cambiamenti sono sostanziali te lo comunicheremo via email all'indirizzo collegato al tuo account.

9. Contatti

Per qualsiasi domanda sulla privacy, per esercitare i tuoi diritti o per un reclamo, scrivici a hola@erasmusguru.com.