Informativa privacy
Come trattiamo i dati personali.
LoyalCard permette ai commercianti di creare una carta fedeltà digitale per Apple Wallet e Google Wallet. Qui spieghiamo, senza giri di parole, quali dati raccogliamo, perché, con chi li condividiamo e come puoi controllarli.
Ultimo aggiornamento: 9 settembre 2026
1. Titolare e contatti
Il titolare del trattamento per i dati descritti al punto 3 è FIRST LAYER S.R.L., società che sviluppa e gestisce il servizio LoyalCard.
- Sede legale: Via della Giunchiglia 71, 06131 Perugia (PG), Italia
- Partita IVA / Codice fiscale: 03994330540
- PEC: firstlayer@pec.it
- REA: PG - 370965
- Email per privacy e richieste GDPR: support@loyalcard.io
- Sito del servizio: loyalcard.io
Scrivendo a support@loyalcard.io puoi esercitare i tuoi diritti, chiedere informazioni sul trattamento o segnalare un problema: rispondiamo entro 30 giorni.
2. I due ruoli di LoyalCard
LoyalCard tratta due categorie di dati molto diverse, con due ruoli diversi. È la distinzione più importante di questa informativa.
Dati dei commercianti e dello staff
Sono i dati di chi apre un account LoyalCard per il proprio locale. Qui FIRST LAYER S.R.L. è titolare del trattamento: decidiamo noi finalità e modalità.
Dati dei clienti delle carte fedeltà
Sono i dati delle persone che si iscrivono alla carta fedeltà di un locale. Il titolare è il commerciante; LoyalCard agisce come responsabile del trattamento ai sensi dell’art. 28 GDPR, cioè tratta quei dati solo su istruzione del commerciante e per far funzionare il servizio.
Se ti sei iscritto alla carta fedeltà di un bar, di un ristorante o di un negozio e vuoi sapere come vengono usati i tuoi dati o vuoi farli cancellare, il tuo interlocutore è il locale che ti ha dato la carta. Puoi scrivere anche a noi (support@loyalcard.io): giriamo la richiesta al locale e lo assistiamo nell’evaderla.
3. Dati dei commercianti e dello staff
Richieste di ricontatto dalla landing page
Se compili il modulo “Parla con noi”, FIRST LAYER S.R.L. usa nome, email, numero di telefono, nome dell’attività e fascia oraria preferita per ricontattarti via telefono o email e dare seguito alla tua richiesta di informazioni su LoyalCard. La conferma nel modulo riguarda questa richiesta: non ti iscrive a newsletter né autorizza campagne promozionali non richieste.
Il registro delle richieste è conservato in Google Sheets tramite Google Apps Script; il servizio LeadPing, ospitato su Convex, inoltra al nostro team una notifica su Telegram con i dati necessari al ricontatto. Nel registro viene inclusa la conferma, con il testo mostrato, la sua versione e la data di ricezione. Per chiedere di interrompere il ricontatto o esercitare i tuoi diritti, consulta la sezione “I tuoi diritti”.
La prenotazione di una call è separata: solo scegliendo “Prenota una call” apri Cal.com, a cui vengono riportati i dati già compilati indicati accanto al pulsante. Non è necessario inviare il modulo di ricontatto per prenotare.
Account e utilizzo del servizio
Riguardano chi crea un account LoyalCard, chi viene invitato nel team del locale e chi usa la dashboard o l’app di cassa.
| Dati | Finalità | Base giuridica |
|---|---|---|
| Account: nome, cognome, indirizzo email, immagine del profilo, credenziali gestite da Clerk | Creare l’account, autenticarti, gestire i ruoli nel team del locale | Esecuzione del contratto (art. 6.1.b GDPR) e termini di servizio |
| Dati del locale: nome, indirizzo o posizione, orari, logo, immagini di sfondo, colori, testo dei premi | Generare e aggiornare la carta fedeltà digitale e i materiali di iscrizione | Esecuzione del contratto (art. 6.1.b GDPR) |
| Dati di abbonamento e fatturazione: piano, stato, dati fiscali e di pagamento trattati da Stripe | Gestire prova gratuita, abbonamento, fatture e adempimenti contabili | Esecuzione del contratto (art. 6.1.b) e obbligo di legge (art. 6.1.c GDPR) |
| Dati d’uso e tecnici: log di accesso, operazioni di cassa (timbri, punti, riscatti), errori, identificativo tecnico dell’installazione dell’app | Sicurezza, prevenzione degli abusi, diagnostica, continuità del servizio e distribuzione degli aggiornamenti dell’app | Legittimo interesse a un servizio sicuro e funzionante (art. 6.1.f GDPR) |
| Comunicazioni: email di servizio, richieste inviate al supporto | Rispondere alle richieste, comunicare cambiamenti rilevanti del servizio | Esecuzione del contratto (art. 6.1.b) e legittimo interesse (art. 6.1.f GDPR) |
Il conferimento di questi dati è necessario per usare LoyalCard: senza, non è possibile creare un account né emettere carte fedeltà.
4. Dati dei clienti delle carte fedeltà
Quando una persona si iscrive alla carta fedeltà di un locale tramite la pagina web di iscrizione, raccogliamo per conto del commerciante:
- Nome, numero di telefono e città: identificano la carta e permettono al locale di riconoscere il cliente alla cassa.
- Email e data di nascita, se richieste dal locale: sono facoltative e servono per il servizio clienti e per eventuali iniziative dedicate (per esempio il compleanno).
- Consenso al trattamento e, separatamente, consenso alle comunicazioni promozionali, con la data in cui sono stati prestati o revocati.
- Dati della carta e delle visite: timbri o punti accumulati, premi riscattati, data dell’ultima visita, numero di visite, codice della carta, canale di iscrizione (QR del locale, invito di un altro cliente, link diretto).
- Dati tecnici del pass: piattaforma wallet usata (Apple, Google o web) e registrazioni dei dispositivi necessarie ad aggiornare il pass; un identificativo tecnico del dispositivo di iscrizione, usato per limitare gli abusi sul programma di invito.
Finalità e basi giuridiche
- Gestione della carta fedeltà (emissione del pass, conteggio di timbri e punti, riscatto dei premi): esecuzione del rapporto con il cliente e consenso raccolto al momento dell’iscrizione.
- Comunicazioni promozionali sul pass (notifiche e campagne del locale): consenso specifico e revocabile in qualsiasi momento, dal link di disiscrizione presente nel pass.
- Sicurezza e prevenzione degli abusi (limiti di iscrizione, controlli antifrode sui codici invito): legittimo interesse del titolare.
LoyalCard non vende i dati dei clienti, non li usa per finalità proprie di marketing e non li condivide con altri commercianti: ogni locale vede solo i clienti della propria carta.
5. Fornitori e sub-responsabili
Per erogare il servizio ci appoggiamo a fornitori selezionati, che trattano i dati come responsabili o sub-responsabili sulla base di appositi accordi (DPA).
| Fornitore | A cosa serve | Dati trattati |
|---|---|---|
| Clerk | Autenticazione e gestione degli account e dei team | Dati account dei commercianti e dello staff |
| Convex | Database e backend applicativo | Dati dei locali, delle carte e dei clienti |
| Vercel | Hosting del sito, della dashboard e delle API web | Dati trasmessi durante l’uso del sito, log tecnici |
| Expo / EAS | Distribuzione dell’app mobile e aggiornamenti over-the-air | Identificativo tecnico dell’installazione, dati diagnostici |
| Stripe | Abbonamenti e pagamenti dei commercianti | Dati di fatturazione e di pagamento (Stripe è autonomo titolare per gli obblighi antiriciclaggio e di pagamento) |
| Apple (Apple Wallet) | Distribuzione e aggiornamento del pass su iPhone | Contenuto del pass e registrazioni dei dispositivi per le notifiche |
| Google (Google Wallet) | Distribuzione e aggiornamento del pass su Android | Contenuto del pass e identificativi dell’oggetto wallet |
I dati possono inoltre essere comunicati a consulenti, commercialisti e autorità quando previsto da un obbligo di legge. L’elenco aggiornato dei sub-responsabili è disponibile su richiesta scrivendo a support@loyalcard.io.
6. Trasferimenti extra-UE
Alcuni fornitori hanno sede negli Stati Uniti e possono trattare i dati al di fuori dello Spazio Economico Europeo. In questi casi il trasferimento avviene solo con le garanzie previste dal Capo V del GDPR:
- Clausole contrattuali standard approvate dalla Commissione europea, integrate da misure supplementari (cifratura in transito e a riposo, minimizzazione dei dati);
- EU-US Data Privacy Framework, per i fornitori che vi aderiscono.
Puoi chiederci copia delle garanzie adottate scrivendo a support@loyalcard.io.
7. Per quanto conserviamo i dati
Registro delle richieste di ricontatto
Attualmente non è prevista una scadenza di cancellazione automatica per le richieste e le relative conferme archiviate nel nostro Google Sheet. Puoi richiederne la rimozione scrivendo a support@loyalcard.io. Questa modalità operativa non esclude l’obbligo di limitare la conservazione al tempo necessario alle finalità del trattamento.
Dati relativi all’utilizzo del servizio
| Dati | Conservazione |
|---|---|
| Account del commerciante e dello staff | Per tutta la durata del rapporto e fino a 12 mesi dalla chiusura dell’account, salvo cancellazione anticipata su richiesta |
| Dati del locale e configurazione della carta | Fino alla cancellazione dell’account o del locale |
| Dati dei clienti della carta e storico di timbri e punti | Secondo le istruzioni del commerciante titolare: di norma fino alla revoca del consenso, alla richiesta di cancellazione o alla chiusura del programma fedeltà |
| Consensi e revoche | Per tutta la durata del trattamento e per i 5 anni successivi, come prova dell’adempimento |
| Documenti fiscali e contabili | 10 anni, come previsto dalla normativa italiana |
| Log tecnici e di sicurezza | Di norma fino a 12 mesi |
8. I tuoi diritti
In qualsiasi momento puoi esercitare i diritti previsti dagli articoli 15-22 del GDPR:
- Accesso: sapere quali dati trattiamo e ottenerne copia.
- Rettifica: correggere dati inesatti o incompleti.
- Cancellazione: chiedere la rimozione dei dati, se non sussistono obblighi di conservazione.
- Limitazione e opposizione al trattamento fondato sul legittimo interesse.
- Portabilità: ricevere i dati in formato strutturato e leggibile da dispositivo automatico.
- Revoca del consenso, senza pregiudizio per la liceità del trattamento già effettuato. Per le comunicazioni promozionali sul pass basta usare il link di disiscrizione contenuto nel pass stesso.
Come esercitarli
Scrivi a support@loyalcard.io indicando il diritto che vuoi esercitare e, se sei cliente di una carta fedeltà, il nome del locale. Rispondiamo entro 30 giorni. Se la richiesta riguarda dati per cui siamo responsabili e non titolari, la trasmettiamo senza ritardo al commerciante.
Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità di controllo del tuo Stato di residenza.
9. Cancellazione dell’account
Puoi eliminare il tuo account LoyalCard in autonomia, senza passare dal supporto: dall’app di cassa in Impostazioni → Elimina account oppure dalla pagina dedicata sul sito.
Nella pagina trovi anche il dettaglio di cosa viene cancellato, cosa resta conservato per obblighi di legge e in quanto tempo.
10. App mobile LoyalCard
L’app LoyalCard è pensata per il personale del locale: serve a scansionare il QR del cliente e ad aggiornare la carta. Ecco cosa fa con i permessi del dispositivo.
- Fotocamera: usata esclusivamente per leggere il codice QR della carta del cliente. L’elaborazione avviene in locale sul dispositivo: non registriamo, non salviamo e non trasmettiamo foto o video. Al server viene inviato solo il codice della carta letto.
- Libreria foto: l’accesso viene richiesto solo se scegli di caricare un logo o un’immagine di sfondo per la carta fedeltà. Accediamo unicamente alle immagini che selezioni tu.
- Nessun tracciamento pubblicitario: l’app non contiene SDK pubblicitari, non usa l’identificativo pubblicitario del dispositivo, non profila gli utenti e non condivide dati con reti di advertising o data broker.
- Identificativo tecnico di installazione: l’app genera un identificativo legato alla singola installazione, usato da Expo/EAS per consegnare gli aggiornamenti corretti e per la diagnostica degli errori. Non è collegato alla tua identità pubblicitaria e viene eliminato disinstallando l’app.
- Notifiche: se le autorizzi, servono solo per avvisi operativi legati al tuo locale.
11. Cookie e archiviazione locale
LoyalCard usa cookie tecnici e strumenti di archiviazione locale necessari al funzionamento del servizio. Sulla landing page usiamo inoltre, solo dopo il consenso, Google Analytics 4 per misurare in forma aggregata pagine visitate, sezioni consultate e interazioni con prezzi, FAQ e pulsanti. Non inviamo a Google dati inseriti nei moduli, indirizzi email o altri identificativi scelti dall’utente e non usiamo questi dati per pubblicità comportamentale.
- Cookie di sessione e autenticazione (Clerk): mantengono l’accesso alla dashboard.
- Cookie di preferenza dell’interfaccia: ricordano, ad esempio, se la barra laterale della dashboard è aperta o chiusa.
- Archiviazione locale del browser: nella pagina di iscrizione salva un identificativo tecnico del dispositivo, usato per evitare iscrizioni duplicate e abusi del programma di invito.
- Analisi aggregate del sito (Google Analytics 4, gestito tramite Google Tag Manager): viene attivata solo se accetti i cookie analitici nel pannello CookieYes. Puoi revocare il consenso in qualsiasi momento da “Preferenze cookie” nel footer.
Per durata, finalità e fornitori consulta la nostra Cookie Policy. Puoi anche cancellare cookie e dati locali dalle impostazioni del browser; disattivando quelli tecnici, l’accesso alla dashboard potrebbe non funzionare.
12. Sicurezza dei dati
Adottiamo misure tecniche e organizzative adeguate al rischio: traffico cifrato in transito (HTTPS), cifratura a riposo presso i fornitori di infrastruttura, accessi limitati in base al ruolo, autenticazione gestita da un fornitore specializzato e registro delle operazioni amministrative. In caso di violazione dei dati personali con rischio per i diritti degli interessati, notifichiamo al Garante e, se necessario, agli interessati nei termini di legge.
Il servizio non è destinato a minori di 14 anni: non raccogliamo consapevolmente dati di minori senza il coinvolgimento di chi esercita la responsabilità genitoriale.
13. Modifiche a questa informativa
Possiamo aggiornare questa informativa per adeguarla a modifiche del servizio o della normativa. La versione in vigore è sempre pubblicata su questa pagina, con la data di ultimo aggiornamento in alto. In caso di modifiche rilevanti avvisiamo i commercianti via email o dalla dashboard.