Informativa sul Trattamento dei Dati Personali (Privacy & Cookie Policy)

Ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”) e del D.lgs. 196/2003 e s.m.i.

Versione vigente — Ultimo aggiornamento: Ottobre 2026

Benvenuto/a su Andam (di seguito l'“Applicativo” o la “Piattaforma”). Andam è una piattaforma web indipendente e Progressive Web App (PWA) dedicata alla bacheca e alla facilitazione del carpooling etico tra persone fisiche, con l'obiettivo di favorire la condivisione spontanea dei costi vivi di viaggio senza commissioni di intermediazione e senza finalità lucrative o professionali.

La tutela della riservatezza e la sicurezza dei dati personali dei nostri utenti sono un impegno primario. La presente Informativa descrive in maniera chiara, trasparente e dettagliata quali dati personali vengono raccolti, per quali finalità, su quali basi giuridiche, con quali misure di sicurezza e per quanto tempo vengono conservati, nonché le modalità per esercitare i tuoi diritti previsti dal Regolamento Generale sulla Protezione dei Dati (GDPR).

1. Titolare del Trattamento dei Dati

Il Titolare del trattamento dei dati personali ai sensi dell'art. 4, n. 7 del GDPR è:

• Titolare: [Nome e Cognome del Libero Professionista / eventuale Denominazione di Ditta Individuale, es. "Andam di Cognome"]
• Partita IVA: [Inserisci Partita IVA, es. IT00000000000]
• Sede legale / Domicilio professionale: [Inserisci Indirizzo, CAP, Comune (Provincia), Italia]
• Email di contatto per la Privacy e l'esercizio dei diritti: privacy@andam.app [oppure tuo indirizzo email dedicato]

(Nel prosieguo della presente informativa indicato congiuntamente come il “Titolare”).

Il Titolare non rientra tra i soggetti tenuti alla nomina obbligatoria del Responsabile della Protezione dei Dati (DPO/RPD) ai sensi dell'art. 37 del GDPR, non effettuando trattamenti su larga scala di dati particolari o giudiziari, né monitoraggio sistematico su larga scala degli interessati. Per qualunque richiesta in materia di privacy, l'indirizzo email sopra indicato costituisce il canale di contatto diretto ed immediato.

2. Inquadramento del Servizio ed Esclusioni di Responsabilità

Per una corretta comprensione dei ruoli e dei trattamenti effettuati tramite l'Applicativo, si evidenzia che:

1. Servizio della Società dell'Informazione (Bacheca Tecnologica): Andam fornisce esclusivamente un servizio telematico di bacheca e facilitazione dell'incontro tra domanda e offerta di mobilità privata tra pari (servizio di hosting provider / prestatore di servizi della società dell'informazione ai sensi del Regolamento UE 2022/2065 “Digital Services Act” e del D.lgs. 70/2003).
2. Esclusione di Attività di Trasporto e Intermediazione d'Affari: Andam non è un vettore di trasporto pubblico o privato, non è un'agenzia di intermediazione viaggi, non gestisce flotte di veicoli e non offre servizi assimilabili a taxi o noleggio con conducente (NCC) ai sensi della Legge 21/1992 e del Codice della Strada (D.lgs. 285/1992). Gli accordi di viaggio si perfezionano autonomamente ed esclusivamente tra gli utenti.
3. Zero Intermediazione Economica: Andam non gestisce conti correnti, non intermedia denaro, non trattiene somme a garanzia (escrow) e non applica percentuali o commissioni sui viaggi. Il contributo spese pattuito costituisce un mero rimborso forfettario ripartito a copertura parziale dei costi vivi del tragitto (carburante, usura veicolo, pedaggi autostradali) e viene regolato direttamente tra conducente e passeggeri, fuori dalla Piattaforma.
4. Perimetro del Trattamento e Piattaforme Terze (WhatsApp): L'Applicativo mette a disposizione degli utenti verificati collegamenti ipertestuali rapidi (deep link) verso l'applicazione di messaggistica esterna WhatsApp (di titolarità di Meta Platforms Ireland Ltd.). Nel momento in cui l'utente clicca su tale opzione, il trattamento di comunicazione diretta fuoriesce dall'infrastruttura di Andam ed è disciplinato dalle condizioni contrattuali e dalle informative privacy della piattaforma terza scelta dagli utenti.

3. Categorie di Dati Personali Trattati

Il Titolare raccoglie unicamente i dati personali strettamente necessari al funzionamento del servizio e alla sicurezza della comunità di utenti:

A. Dati di Registrazione e Gestione dell'Account

• Registrazione con credenziali proprietarie: indirizzo email e password. Le password sono gestite mediante algoritmi crittografici di hashing irreversibile (bcrypt/Argon2) tramite il sistema di autenticazione Supabase; il Titolare non conosce né memorizza la password in chiaro.
• Autenticazione federata tramite Google Sign-In (OAuth 2.0): qualora l'utente scelga tale opzione, vengono acquisiti identificativo account Google univoco, indirizzo email associato, nome e immagine del profilo pubblica (avatar).
• Gestione Inviti e Accesso: codici invito utilizzati per la registrazione e relativo timestamp di riscatto; eventuale indirizzo email fornito spontaneamente per segnalare interesse all'accesso anticipato.

B. Dati del Profilo Utente e Requisiti di Sicurezza

• Numero di Telefono Cellulare: raccolto obbligatoriamente per abilitare le funzioni di pubblicazione dei viaggi o di contatto tra utenti. Il numero è validato nel formato internazionale E.164. Il numero di cellulare non è mai mostrato pubblicamente nel catalogo o nella vista pubblica dei profili; è memorizzato in forma protetta nel database ed è utilizzato per generare il collegamento di reindirizzamento WhatsApp solo ed esclusivamente nei confronti di un altro utente autenticato, con profilo completo e verificato.
• Dati descrittivi e reputazionali del profilo: nome, biografia/note personali, anno di nascita (utilizzato per indicare la fascia d'età e verificare la maggiore età), veicoli utilizzati dal conducente (marca e modello indicativi).
• Preferenze di viaggio: abitudini selezionate dall'utente (propensione alla conversazione, ascolto di musica, tolleranza o divieto di fumo, disponibilità al trasporto di animali domestici).
• Collegamenti a profili social esterni (opzionali): URL a profili pubblici LinkedIn o Instagram inseriti volontariamente dall'utente per attestare la propria identità.
• Indicatori di affidabilità (Trust Badges): stato di completamento del profilo, badge di utente verificato, contatore dei viaggi portati a termine sulla Piattaforma.

C. Dati relativi alle Tratte e agli Spostamenti

• Annunci di Viaggio pubblicati dai Conducenti: comune di partenza, comune di arrivo, tappe intermedie (fino a 5 comuni lungo il percorso), data e ora stimata di partenza, contributo spese forfettario richiesto per passeggero, posti auto offerti (da 1 a 4), punti indicativi di salita o discesa e note accessorie sul viaggio.
• Ricerche di Viaggi: comuni e date cercate dall'utente autenticato, archiviati per sincronizzare la cronologia delle ricerche recenti sui diversi dispositivi dell'utente.
• Segnalazioni di Tratte Desiderate: comuni di partenza e arrivo per cui l'utente ha segnalato interesse in caso di assenza di viaggi attivi.

D. Comunicazioni Interne e Notifiche

• Messaggistica interna: testi delle comunicazioni scambiate tra utenti all'interno della sezione chat dell'Applicativo, timestamp di invio e identificativo dei partecipanti.
• Email di Servizio Transazionali: notifiche email generate automaticamente dalla Piattaforma (es. avviso di ricezione di un nuovo messaggio o link di reimpostazione password) e inoltrate tramite il fornitore tecnologico specializzato Resend.

E. Dati di Navigazione e Log di Sistema

• Indirizzi IP, timestamp di connessione, metodo di richiesta HTTP, User Agent (tipo e versione del browser, sistema operativo), identificatori di sessione e log tecnici necessari al monitoraggio del corretto funzionamento applicativo e alla prevenzione di attacchi informatici.

4. Finalità del Trattamento e Basi Giuridiche (Art. 6 GDPR)

I trattamenti dei dati personali sopra descritti avvengono unicamente nel rispetto dei principi di liceità, correttezza e trasparenza previsti dall'art. 6 del GDPR:

Precisazione fondamentale: Il Titolare non effettua alcuna profilazione commerciale, non analizza le abitudini degli utenti a fini di marketing e non cede, affitta o commercializza i dati personali a soggetti terzi per scopi promozionali o pubblicitari.

5. Misure di Sicurezza Tecniche e Organizzative (Art. 32 GDPR)

Il Titolare adotta rigorose misure di sicurezza tecniche e organizzative mirate a proteggere i dati personali da perdita accidentale, accessi non autorizzati, divulgazione o modifiche illecite:

1. Row-Level Security (RLS) a livello di Database: la base dati applica policy granulari a livello di riga. Ogni richiesta autenticata viene valutata dal motore database PostgreSQL: gli utenti hanno accesso solo ai propri dati privati; le informazioni riservate (quali email e numero di cellulare) non sono mai interrogabili tramite query pubbliche o accessibili ad altri utenti non autorizzati.
2. Cifratura in Transito e a Riposo: tutte le comunicazioni tra il browser dell'utente e i server della Piattaforma avvengono tramite canali cifrati con protocolli crittografici avanzati TLS/HTTPS. I database e gli archivi di backup sono cifrati at-rest.
3. Sessioni Sicure con Cookie HttpOnly (No JWT in LocalStorage): per prevenire il furto di sessione mediante attacchi informatici Cross-Site Scripting (XSS), i token di sessione autenticata sono veicolati esclusivamente mediante cookie di tipo HttpOnly, Secure e con attributo SameSite=Lax. Nessun token JWT o credenziale di autenticazione è memorizzato nel LocalStorage del browser.
4. Assenza di Tracciamento GPS Continuo: l'Applicativo non richiede né monitora la posizione geografica in tempo reale (nessun tracciamento GPS in background). I calcoli di compatibilità dei percorsi e delle tappe avvengono unicamente elaborando le coordinate geografiche fisse e statiche associate al catalogo dei comuni italiani selezionati dall'utente nei campi di input.

6. Destinatari dei Dati e Trasferimento verso Paesi Terzi

Per lo svolgimento delle attività operative e tecniche indispensabili all'erogazione del servizio, i dati personali potranno essere trattati da soggetti terzi qualificati come Responsabili del Trattamento ai sensi dell'art. 28 del GDPR, ovvero operanti come autonomi titolari:

1. Supabase Inc. (Database Cloud, Backend & Autenticazione): fornitore della piattaforma database PostgreSQL gestita, del motore di autenticazione e delle policy RLS. I dati sono conservati su server localizzati all'interno dell'Unione Europea (Regione AWS Francoforte, Germania / Irlanda).
2. Vercel Inc. (Hosting Applicativo & Infrastruttura Serverless): fornitore dell'infrastruttura di erogazione e distribuzione globale delle pagine web e delle API serverless.
3. Resend Inc. (Servizio Email Transazionali): fornitore tecnologico per l'inoltro delle email di servizio transazionali (avvisi di messaggistica interna, comunicazioni di ripristino account).
4. Google Ireland Limited / Google LLC: limitatamente ai soggetti che scelgono l'autenticazione tramite Google Sign-In.
5. Meta Platforms Ireland Ltd. (WhatsApp): nel caso in cui l'utente decida spontaneamente di avviare il contatto preliminare tramite deep link all'applicazione WhatsApp.
6. Autorità ed Enti Pubblici: Pubbliche Autorità, Forze dell'Ordine o Autorità Giudiziarie nei soli casi espressamente previsti dalla legge o su formale richiesta.

I trasferimenti di dati verso fornitori con sede o infrastrutture al di fuori dello Spazio Economico Europeo (in particolare negli Stati Uniti) avvengono in piena conformità al Capo V del GDPR:

• sulla base della decisione di adeguatezza della Commissione Europea per i fornitori certificati nell'ambito dell'EU-U.S. Data Privacy Framework (DPF);
• in subordine, mediante l'adozione delle Clausole Contrattuali Tipo (Standard Contractual Clauses - SCC) approvate dalla Commissione Europea e integrate con misure supplementari di cifratura e sicurezza tecnica.

Nessun dato personale viene diffuso al pubblico indistinto, fatti salvi i dati che l'utente stesso rende visibili pubblicando un annuncio di viaggio o compilando il proprio profilo pubblico (nome, avatar, bio, recensioni, preferenze generali).

7. Periodo di Conservazione dei Dati (Data Retention)

I dati personali sono trattati e conservati per il tempo strettamente indispensabile al conseguimento delle finalità per cui sono stati raccolti:

• Dati dell'Account e del Profilo: conservati per tutta la durata in cui l'account rimane attivo. L'utente può richiedere in ogni momento la cancellazione del proprio account; a seguito della richiesta, i dati identificativi diretti saranno cancellati o resi irreversibilmente anonimi.
• Annunci di Viaggio pubblicati: archiviati automaticamente al passaggio della data e dell'orario di partenza. Rimangono memorizzati in archivio storico collegato al profilo per la consultazione personale e il calcolo del contatore dei viaggi completati; vengono rimossi contestualmente alla chiusura dell'account del conducente.
• Cronologia Ricerche e Interessi di Tratta: conservati per un periodo massimo di 12 mesi per ottimizzare la copertura territoriale del servizio e la cronologia personale, decorsi i quali vengono eliminati o resi anonimi in forma aggregata.
• Messaggi in-app: conservati fino alla richiesta di cancellazione di uno dei partecipanti o alla disattivazione dell'account.
• Dati Tecnici e Log di Sistema: conservati per un periodo non superiore a 6 mesi, salvo necessità di accertamento di reati o difese in sede giudiziaria.
• Dati connessi ad obblighi di legge o tutela legale: conservati per i termini prescrizionali ordinari (fino a 10 anni ex art. 2946 c.c.) a fini probatori e di tutela contro pretese o contestazioni.

8. Informativa sui Cookie e Strumenti di Archiviazione Locale (Web Storage)

In conformità alla Direttiva 2002/58/CE (modificata dalla Direttiva 2009/136/CE), all'art. 122 del D.lgs. 196/2003 e alle Linee Guida del Garante per la Protezione dei Dati Personali del 10 giugno 2021:

• Nessun Cookie di Profilazione: Andam non utilizza cookie, pixel o identificatori pubblicitari mirati a tracciare i comportamenti o a profilare gli utenti per finalità promozionali.
• Nessun Strumento di Tracciamento Terzo Invasivo: la Piattaforma non installa Google Analytics, Meta Pixel o analoghi script di monitoraggio pubblicitario o analitico invasivo di terze parti.

Strumenti Tecnici Utilizzati dalla Piattaforma:

1. *Cookie Tecnici di Sessione e Autenticazione (`sb--auth-token):** emessi dal motore Supabase SSR, dotati di attributi HttpOnly, Secure e SameSite=Lax. Sono indispensabili per riconoscere e mantenere la sessione dell'utente autenticato durante la navigazione nell'area riservata (/cerca, /pubblica, /viaggi, /chat, /profilo`). Durata: persistono per la durata della sessione o fino al logout dell'utente.
2. Cookie Tecnico di Invito (andam_invite): cookie proprietario impostato con attributi HttpOnly, Secure e SameSite=Lax qualora l'utente acceda tramite un collegamento con codice invito (/i/[codice]). È strettamente necessario per convalidare l'ammissione alla fase di accesso e scade automaticamente entro 24 ore.
3. Memoria Locale del Dispositivo (Web Storage: LocalStorage / SessionStorage): andam:recent-searches (LocalStorage): salva localmente sul browser dell'utente le ultime ricerche effettuate (fino a un massimo di 5) per facilitare la nuova digitazione rapida. andam:phone-gate-snooze (LocalStorage): memorizza un timestamp locale temporaneo (durata 3 ore) per evitare di riproporre ripetutamente e in modo invasivo il promemoria di inserimento del numero di telefono nel corso della stessa sessione d'uso. * andam:welcome-pending, andam:welcome-consumed (SessionStorage / LocalStorage): registrano temporaneamente lo stato di visualizzazione della schermata di benvenuto alla prima registrazione.

Base giuridica e Consenso Cookie: Poiché tutti i cookie e gli elementi di memoria locale sopra elencati hanno natura puramente tecnica e funzionale e sono strettamente necessari per erogare il servizio esplicitamente richiesto dall'utente (art. 122, comma 1, D.lgs. 196/2003), non è richiesto il preventivo consenso dell'utente né la presenza di un banner cookie bloccante all'accesso.

L'utente può comunque gestire, disabilitare o cancellare i cookie attraverso le impostazioni del proprio browser web; tuttavia, la disabilitazione dei cookie tecnici potrebbe compromettere la possibilità di accedere all'account e utilizzare le funzionalità della Piattaforma.

9. Diritti dell'Interessato (Artt. 15-22 GDPR)

Ai sensi del Regolamento (UE) 2016/679, ciascun utente, in qualità di persona fisica interessata, può esercitare in qualsiasi momento i seguenti diritti:

1. Diritto di Accesso (Art. 15 GDPR): ottenere la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e, in tal caso, ottenere l'accesso ai dati e alle informazioni sul trattamento.
2. Diritto di Rettifica (Art. 16 GDPR): ottenere la correzione o l'aggiornamento dei dati personali inesatti o l'integrazione di quelli incompleti (buona parte dei quali modificabili autonomamente nella pagina /profilo).
3. Diritto alla Cancellazione / Oblio (Art. 17 GDPR): richiedere la cancellazione definitiva dei propri dati personali, qualora non sussistano motivi legittimi prevalenti o obblighi di legge che ne impongano la conservazione.
4. Diritto di Limitazione del Trattamento (Art. 18 GDPR): richiedere la sospensione temporanea del trattamento nelle ipotesi di contestazione sull'esattezza dei dati o sulla liceità del trattamento.
5. Diritto alla Portabilità dei Dati (Art. 20 GDPR): ricevere i dati personali forniti al Titolare in un formato strutturato, di uso comune e leggibile da dispositivo automatico, nonché trasmetterli a un altro titolare senza impedimenti.
6. Diritto di Opposizione (Art. 21 GDPR): opporsi in qualunque momento, per motivi connessi alla propria situazione particolare, al trattamento dei dati personali svolto sulla base del legittimo interesse del Titolare.
7. Diritto di Revoca del Consenso: revocare in qualsiasi momento un eventuale consenso prestato per specifici trattamenti facoltativi, senza pregiudicare la liceità del trattamento effettuato prima della revoca.

Modalità di Esercizio dei Diritti

Per esercitare uno o più dei predetti diritti, l'interessato può inviare una richiesta formale senza oneri né formalità all'indirizzo email: 👉 privacy@andam.app [o tuo indirizzo email dedicato]

Il Titolare darà riscontro alla richiesta tempestivamente e comunque entro il termine di trenta (30) giorni dal ricevimento, prorogabile di ulteriori due mesi solo in casi di particolare complessità e volume delle istanze, previa comunicazione motivata.

10. Diritto di Reclamo all'Autorità di Controllo Competente

Qualora l'interessato ritenga che il trattamento dei propri dati personali violi le disposizioni del Regolamento (UE) 2016/679 o della normativa nazionale, ha il diritto di proporre reclamo formale all'Autorità di controllo nazionale competente dello Stato membro in cui risiede abitualmente, lavora oppure in cui si è verificata la presunta violazione.

Per l'Italia, l'Autorità di controllo è:

• Garante per la Protezione dei Dati Personali
• Sede: Piazza Venezia n. 11, 00187 – Roma (Italia)
• Sito web ufficiale: https://www.garanteprivacy.it
• Centralino telefonico: (+39) 06.696771
• Indirizzo email: garante@gpdp.it
• Posta Elettronica Certificata (PEC): protocollo@pec.gpdp.it

11. Modifiche e Aggiornamenti dell'Informativa

Il Titolare si riserva il diritto di apportare modifiche o aggiornamenti alla presente Informativa, in conseguenza di evoluzioni normative, modifiche dell'infrastruttura tecnologica o introduzione di nuove funzionalità nell'Applicativo.

La versione più aggiornata è sempre consultabile all'interno dell'Applicativo. La data di "Ultimo aggiornamento" riportata in epigrafe consentirà di identificare l'attuale versione vigente. Gli utenti registrati saranno informati delle variazioni sostanziali mediante avviso pubblicato sulla Piattaforma o tramite comunicazione email.