Politique de confidentialité

Version 1.0 — En vigueur à compter du 26/04/2026

PRÉAMBULE

La présente Politique de Confidentialité (ci-après la « Politique de Confidentialité » ou la « Politique ») décrit de manière transparente les modalités par lesquelles Inmedia S.r.l. (ci-après « Stravagando » ou la « Plateforme »), responsable du traitement et exploitant de la plateforme numérique Stravagando accessible à l'adresse principale stravagando.com et sous-domaines associés, sur l'application mobile pour iOS et Android (ci-après l'« App ») et sur les canaux d'assistance, de marketing et de communication associés, collecte, utilise, conserve, communique et transfère les données personnelles des Personnes concernées, en conformité avec :

• (a) le Règlement (UE) 2016/679 du Parlement européen et du Conseil, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (ci-après « RGPD ») ;

• (b) le Décret législatif italien du 30 juin 2003 n° 196 (« Code italien de la protection des données »), tel que modifié par le Décret législatif italien du 10 août 2018 n° 101 ;

• (c) les Lignes directrices de l'Autorité italienne de protection des données personnelles (ci-après le « Garante ») et les décisions du Comité européen de la protection des données (CEPD) ;

• (d) la Directive 2002/58/CE (Directive ePrivacy) telle que modifiée, pour les profils de marketing direct et d'Outils de Traçage ;

• (e) pour les résidents des États-Unis d'Amérique, les réglementations étatiques applicables, notamment le California Consumer Privacy Act (CCPA) tel que modifié par le California Privacy Rights Act (CPRA), le Virginia Consumer Data Protection Act (VCDPA), le Colorado Privacy Act (CPA), le Connecticut Data Privacy Act (CTDPA), l'Utah Consumer Privacy Act (UCPA) et les réglementations étatiques ultérieures en vigueur ;

• (f) pour le traitement de données présentant des profils de nature fiscale ou liés au traitement des paiements, les réglementations sectorielles applicables, notamment le Décret législatif italien du 1er mars 2023 n° 32 (DAC7), le Décret législatif italien du 21 novembre 2007 n° 231 (lutte contre le blanchiment), le Décret du Président de la République italien 600/1973 (établissement des impôts sur les revenus) et le D.P.R. italien 633/1972 (TVA) ;

• (g) le Règlement (UE) 2022/2065 (Digital Services Act, « DSA ») et le Règlement (UE) 2019/1150 (Platform-to-Business, « P2B ») pour les profils de transparence dans les services numériques et dans les relations avec les utilisateurs professionnels ;

• (h) le Règlement (UE) 2024/1689 (Artificial Intelligence Act, « AI Act ») pour les profils de transparence des systèmes d'intelligence artificielle utilisés pour la modération automatique des contenus générés par les Utilisateurs et pour le calcul du Trust Score ;

• (i) la Directive (UE) 2022/2555 (NIS2), pour les profils de sécurité de l'information.

La présente Politique de Confidentialité constitue la politique générale au sens des articles 13 et 14 du RGPD et est complétée, pour des profils spécifiques, par la Politique Cookies de la Plateforme — à laquelle renvoi est fait pour le détail des Outils de Traçage —, par les Conditions Générales d'Utilisation (avec une référence particulière aux Sections 5, 6, 7, 8, 8-bis, 9, 11, 12, 12-bis, 16 et 16.1), par les Conditions Générales de Vente pour les profils relatifs à la marketplace d'Expériences payantes, par les Conditions Hôte, par les Conditions du Programme de Parrainage, par les Spécifications Techniques du Service pour les paramètres opérationnels du traitement, ainsi que par les politiques de confidentialité spécifiques éventuellement fournies au moment de la collecte de données personnelles pour des finalités supplémentaires (p. ex. participation à des concours, sondages, programmes pilotes, accès bêta).

En cas de divergence entre la présente Politique de Confidentialité et d'autres politiques de confidentialité spécifiques fournies à la Personne concernée pour des traitements individuels, les dispositions de la politique spécifique la plus récente prévalent — pour le traitement spécifique concerné ; les dispositions de la présente Politique restent fermes pour tout ce qui n'est pas spécifiquement réglementé.

ART. 1 — DÉFINITIONS

Aux fins de la présente Politique de Confidentialité, les termes suivants ont la signification indiquée ci-après. Les définitions s'intègrent à celles prévues dans les Conditions Générales d'Utilisation, dans les Conditions Générales de Vente, dans les Conditions Hôte, dans les Conditions du Programme de Parrainage et dans la Politique Cookies de la Plateforme.

1.1 « Données Personnelles » : toute information concernant une personne physique identifiée ou identifiable, au sens de l'art. 4, paragraphe 1, n° 1) du RGPD. Cela inclut, à titre d'exemple : nom, prénom, adresse, date de naissance, code fiscal, numéro de TVA, adresse e-mail, numéro de téléphone, adresse IP, identifiants uniques, données de transaction, contenus des communications, coordonnées géographiques, Contenus UGC.

1.2 « Traitement » : toute opération ou ensemble d'opérations, effectuées avec ou sans l'aide de procédés automatisés, appliquées à des Données Personnelles, au sens de l'art. 4, paragraphe 1, n° 2) du RGPD. Cela inclut la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation, la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion, la comparaison, l'interconnexion, la limitation, l'effacement et la destruction.

1.3 « Responsable du Traitement » ou « Responsable » : la personne physique ou morale qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement des Données Personnelles, au sens de l'art. 4, paragraphe 1, n° 7) du RGPD. Pour les traitements décrits dans la présente Politique, le Responsable du Traitement est Inmedia S.r.l. sauf indication contraire.

1.4 « Sous-traitant » : la personne physique ou morale qui traite des Données Personnelles pour le compte du Responsable du Traitement au sens de l'art. 28 du RGPD, sur la base d'un contrat ou d'un autre acte juridique contraignant.

1.5 « Personne concernée » : la personne physique identifiée ou identifiable à laquelle se rapportent les Données Personnelles. Aux fins de la présente Politique, la Personne concernée correspond typiquement à l'Utilisateur de la Plateforme dans l'une des qualifications définies ci-après.

1.6 « Utilisateur » : tout sujet qui accède ou utilise la Plateforme. L'Utilisateur peut revêtir une ou plusieurs des qualifications suivantes, même cumulativement sur la même période, au sens de la Section 3-bis des Conditions Générales d'Utilisation :

• (a) Visiteur non enregistré — quiconque accède à la Plateforme sans s'être enregistré, y compris les destinataires du service d'assistance pré-enregistrement (« Guest Help », cf. Section 17-ter des Conditions Générales d'Utilisation) ;

• (b) Utilisateur social — personne physique enregistrée sur la Plateforme pour les fonctionnalités non transactionnelles (Profil, Social/Communauté, Gamification, exploration du catalogue des Lieux, publication de Contenus UGC), au sens des Conditions Générales d'Utilisation. Constitue le régime de base applicable à tout Utilisateur enregistré ;

• (c) Client ou Guest — l'Utilisateur qui, en plus de la qualification d'Utilisateur social, recherche, réserve ou bénéficie des Expériences payantes proposées via la marketplace intégrée, au sens des Conditions Générales de Vente ;

• (d) Hôte — l'Utilisateur, personne physique ou entité juridique, qui publie et propose des Expériences payantes sur la marketplace intégrée, au sens des Conditions Hôte ;

• (e) Parrain (ou Referrer) — l'Utilisateur qui adhère au Programme de Parrainage en promouvant la Plateforme et en recevant les avantages associés, au sens des Conditions du Programme de Parrainage.

L'assomption d'une qualification spéciale (Client, Hôte, Parrain) n'entraîne pas la perte de la qualification de base d'Utilisateur social, mais entraîne l'application cumulative des traitements prévus pour les finalités supplémentaires. La présente Politique décrit les traitements applicables à chaque qualification dans les sections dédiées.

1.7 « Expérience » : l'activité expérientielle payante proposée par l'Hôte aux Clients via la marketplace intégrée de la Plateforme, conformément aux définitions des Conditions Générales de Vente.

1.8 « Lieu » ou « POI » (Point of Interest) : localité ou entité géographique individuelle cataloguée dans le catalogue des Lieux de la Plateforme (dénomination technique interne : Atlas), identifiée par des coordonnées géographiques, des attributs descriptifs (nom, catégorie, adresse) et une catégorisation thématique. Les Lieux peuvent comprendre des villages, sentiers, châteaux, restaurants, monuments naturels et autres points d'intérêt, sur lesquels peuvent être appliqués des Contenus UGC tels que check-ins, avis et publications publiées sur le Mur du Lieu.

1.9 « Check-in » : l'enregistrement géolocalisé effectué par l'Utilisateur à proximité d'un Lieu présent dans le catalogue, validé côté serveur par calcul de la distance par rapport aux coordonnées du POI. Le check-in constitue le mode principal d'accumulation d'XP dans le Système de Gamification et peut être associé à un Tag UGC au sens de la définition 1.13 ci-après.

1.10 « Contenus Générés par les Utilisateurs » ou « UGC » (User-Generated Content) : tout contenu publié par l'Utilisateur sur la Plateforme, comprenant, à titre d'exemple, des photographies, avis avec note, publications-récit publiées sur le Mur d'un Lieu, propositions de nouveaux Lieux, suggestions de modification aux Lieux existants, commentaires, listes personnelles (Carnets), tags, likes, check-ins et messages directs échangés via le système de messagerie intégré.

1.11 « Mur » : l'interface de visualisation des Contenus UGC sur la Plateforme, déclinée sous deux formes :

• (a) Fil personnel (route /{locale}/feed) — l'agrégat personnalisé des Contenus pertinents pour l'Utilisateur, y compris les Contenus qui le mentionnent via des Tags UGC ;

• (b) Mur d'un Lieu — l'espace public associé à chaque POI dans lequel les Utilisateurs peuvent publier des publications-récit et autres Contenus contextuels au Lieu.

1.12 « Système de Gamification » : le système ludique de la Plateforme comprenant les XP (points d'expérience), les Niveaux, les Récompenses (dénomination technique interne : Achievement), les Streaks (séries consécutives d'activités), les Level Perks (avantages associés à l'atteinte de Niveaux) et la Year Review (compte-rendu périodique d'activité). Les éléments du Système de Gamification ont une nature exclusivement symbolique et ludique et ne constituent pas une monnaie virtuelle ni un bien convertible en argent, au sens de la Section 9.1 des Conditions Générales d'Utilisation.

1.13 « Tag UGC » : l'association, au sein d'un Contenu publié par un Utilisateur, de la référence à un autre Utilisateur enregistré. Le Tag UGC est applicable dans les limites et selon les règles de la Section 8-bis des Conditions Générales d'Utilisation et, pour le cas spécifique du companion tagging dans les check-ins, de la Section 8.

1.14 « Trust Score » : l'indicateur technique numérique (compris entre 0 et 100) calculé automatiquement sur la base de la cohérence technique des check-ins d'un Utilisateur, décrit à la Section 11 des Conditions Générales d'Utilisation. Le Trust Score influe sur l'attribution d'XP pour les check-ins, sur l'approbation automatique des avis et sur l'accès à des fonctionnalités réservées.

1.15 « Modération automatique » : le traitement d'analyse préventive des Contenus UGC effectué au moyen de systèmes d'intelligence artificielle de Tiers, comprenant, en particulier, un modèle linguistique pour la classification textuelle et un service d'analyse des images, décrit à la Section 12 des Conditions Générales d'Utilisation et en conformité avec le Règlement (UE) 2024/1689 (AI Act).

1.16 « Catégories particulières de Données Personnelles » ou « Données Sensibles » : les Données Personnelles visées à l'art. 9, paragraphe 1 du RGPD — c'est-à-dire celles qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, les données génétiques, biométriques, relatives à la santé, à la vie sexuelle ou à l'orientation sexuelle. La Plateforme ne demande normalement pas la fourniture de Données Sensibles aux Utilisateurs ; si un Utilisateur fournit volontairement des Données Sensibles (p. ex. en mentionnant dans les communications avec l'Hôte une condition de santé pertinente pour la jouissance de l'Expérience, ou en publiant un Contenu UGC qui les révèle), leur traitement intervient sur la base du consentement explicite au sens de l'art. 9, paragraphe 2, lettre a) du RGPD ou, le cas échéant, sur la base de l'art. 9, paragraphe 2, lettre f) du RGPD (exercice ou défense d'un droit en justice).

1.17 « Données Pénales » : les Données Personnelles relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes au sens de l'art. 10 du RGPD. La Plateforme peut traiter ces données exclusivement dans les hypothèses prévues par la loi, en particulier en application des mesures de lutte contre le blanchiment, antifraude et de sanctions internationales.

1.18 « Outils de Traçage » : cookies et autres technologies analogues pour le traçage de l'Utilisateur, tels que définis dans la Politique Cookies de la Plateforme à laquelle il est intégralement renvoyé.

1.19 « Stripe Connect » : l'infrastructure de paiement fournie par Stripe Payments Europe Ltd, utilisée par la Plateforme pour l'encaissement des paiements des Clients, l'exécution des transferts aux Hôtes et des Cashouts aux Parrains.

1.20 « KYC » (Know Your Customer) : l'ensemble des procédures de vérification de l'identité des Utilisateurs, conduites directement par Stravagando ou via des fournisseurs spécialisés tels que Stripe Identity, à des fins de sécurité, antifraude, lutte contre le blanchiment et respect de la réglementation fiscale.

1.21 « DAC7 » : la Directive (UE) 2021/514, transposée en Italie par le Décret législatif italien du 1er mars 2023 n° 32, qui impose aux opérateurs de plateformes numériques la collecte, la vérification et la communication à l'Agence des Recettes italienne des données relatives aux personnes qui exercent des « Activités Pertinentes » via la Plateforme.

1.22 « UIF » : l'Unité d'Information Financière instituée auprès de la Banque d'Italie au sens de l'art. 6 du Décret législatif italien 231/2007, destinataire des signalements d'opérations suspectes à des fins de lutte contre le blanchiment.

1.23 « Garante » : l'Autorité italienne de protection des données personnelles, autorité de contrôle italienne au sens du RGPD, ayant son siège à Rome, Piazza Venezia n° 11.

1.24 « EEE » : l'Espace Économique Européen, comprenant les États membres de l'Union européenne, l'Islande, le Liechtenstein et la Norvège.

1.25 « Transfert hors EEE » : le transfert de Données Personnelles à des destinataires établis dans des Pays ne faisant pas partie de l'Espace Économique Européen, soumis aux garanties du Chapitre V du RGPD.

1.26 « Violation de Données » (Data Breach) : la violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, la modification, la divulgation non autorisée ou l'accès à des Données Personnelles transmises, conservées ou traitées, au sens de l'art. 4, paragraphe 1, n° 12) du RGPD.

1.27 « DSA » : le Règlement (UE) 2022/2065 (Digital Services Act), qui régit les services numériques dans le marché unique européen.

1.28 « AI Act » : le Règlement (UE) 2024/1689, qui établit des règles harmonisées sur l'intelligence artificielle.

1.29 « P2B » : le Règlement (UE) 2019/1150 (Platform-to-Business Regulation), qui promeut l'équité et la transparence pour les utilisateurs professionnels des services d'intermédiation en ligne.

1.30 « Legal Hold » : la prolongation, en dérogation aux délais ordinaires de conservation, de la conservation de Données Personnelles ou de Contenus spécifiques pour des besoins de loi, de protection en justice, de respect d'obligations impératives ou d'enquête par les Autorités compétentes, au sens de l'art. 9-bis de la présente Politique et de la Section 16.1 des Conditions Générales d'Utilisation.

1.31 « DPO » (Data Protection Officer) ou « Délégué à la Protection des Données » : la personne chargée de veiller au respect du RGPD au sens des art. 37-39 du RGPD. Le DPO, lorsqu'il est nommé, peut être contacté à l'adresse legal@stravagando.com.

ART. 2 — RESPONSABLE DU TRAITEMENT ET DPO

2.A — Responsable du traitement

2.1 Identification. Le Responsable du traitement des Données Personnelles collectées via la Plateforme est :

Inmedia S.r.l. Siège social : Via L'Aquila, 22, 65122 Pescara (PE), Italie Code Fiscal / N° de TVA : 02017520681 E-mail général d'assistance : support@stravagando.com E-mail pour les demandes en matière de protection des données personnelles : legal@stravagando.com PEC (e-mail certifié) : inmediasrl@pec.it

2.2 Identité commerciale. La Plateforme est commercialement connue sous la marque « Stravagando » et ses déclinaisons graphiques, propriété exclusive d'Inmedia S.r.l.

2.B — Délégué à la Protection des Données (DPO)

2.3 DPO. Lorsque la nomination est obligatoire au sens de l'art. 37 du RGPD ou lorsqu'Inmedia S.r.l. la décide sur une base volontaire, le Délégué à la Protection des Données (DPO / Data Protection Officer) peut être contacté à l'adresse :

legal@stravagando.com (objet : « DPO »)

Inmedia S.r.l. se réserve la faculté d'instituer à l'avenir une adresse e-mail dédiée (à titre d'exemple : dpo@stravagando.com), qui sera communiquée aux Personnes concernées par mise à jour de la présente Politique au sens de l'Art. 14. Les demandes adressées au DPO sont gérées selon le principe de confidentialité ex art. 38, paragraphe 5 du RGPD.

2.C — Représentant UE (pour les sujets hors EEE)

2.4 Représentant UE. Pour les Personnes concernées résidant dans l'Espace Économique Européen, Inmedia S.r.l. est elle-même établie dans l'Union Européenne (Italie) et n'a donc pas besoin de désigner un Représentant UE au sens de l'art. 27 du RGPD.

2.D — Coresponsables et Responsables autonomes

2.5 Coresponsables. Pour certains traitements spécifiques, Inmedia S.r.l. peut agir en qualité de Coresponsable conjointement avec d'autres Responsables, au sens de l'art. 26 du RGPD. Dans ces cas, la configuration spécifique des obligations respectives fait l'objet d'un accord formel entre les Coresponsables, dont le contenu synthétique est mis à disposition des Personnes concernées sur demande à legal@stravagando.com. Les configurations typiques de Coresponsabilité incluent — à titre d'exemple — l'utilisation des Meta Business Tools (Facebook Pixel, Custom Audiences) à des fins de marketing conjointes entre Inmedia S.r.l. et Meta Platforms Ireland Limited.

2.6 Responsables autonomes. De nombreux Tiers qui reçoivent des Données Personnelles dans le contexte de la Plateforme agissent en qualité de Responsables autonomes du traitement pour les finalités qu'ils déterminent eux-mêmes, en particulier : (a) Stripe Payments Europe Ltd, pour les paiements et les services financiers ; (b) les Autorités judiciaires, fiscales, administratives et de surveillance nationales et étrangères ; (c) les établissements bancaires pour l'exécution des paiements ; (d) les Hôtes et les Clients pour la communication et l'exécution des Expériences réservées, chacun dans les limites de son rôle ; (e) les autres Utilisateurs de la communauté sociale pour la jouissance des Contenus UGC publiés avec une visibilité publique ou étendue au réseau de suivi réciproque. La présente Politique décrit les traitements effectués par Inmedia S.r.l. en qualité de Responsable ; pour les traitements effectués par les Tiers en qualité de Responsables autonomes, il est renvoyé à leurs politiques de confidentialité respectives.

ART. 3 — CATÉGORIES DE DONNÉES PERSONNELLES TRAITÉES

Inmedia S.r.l. traite différentes catégories de Données Personnelles selon la relation avec la Personne concernée et les fonctionnalités de la Plateforme utilisées. Les catégories énumérées ci-après sont détaillées par type d'Utilisateur (Visiteur, Utilisateur social, Client, Hôte, Parrain) ; le traitement de chaque catégorie intervient pour les finalités et sur les bases juridiques décrites à l'Art. 4 ci-après.

3.A — Données d'enregistrement et de Profil

3.1 Visiteurs non enregistrés. Pour les Visiteurs non enregistrés, Inmedia S.r.l. ne collecte pas de données d'enregistrement. Les Données d'Utilisation décrites au paragraphe 3.K ci-après sont collectées automatiquement. Dans le cas où le Visiteur contacte l'assistance pré-enregistrement (« Guest Help » au sens de la Section 17-ter des Conditions Générales d'Utilisation), sont collectés l'adresse e-mail fournie, le contenu de la demande et les métadonnées du jeton d'accès temporaire émis par le système.

3.2 Utilisateurs sociaux et Clients enregistrés. Pour les Utilisateurs enregistrés aux fonctionnalités non transactionnelles (social, gamification, exploration, UGC) — qui constituent le régime de base applicable à tout Utilisateur — et pour les Clients qui accèdent à la marketplace intégrée, sont collectés, lors de la création du compte et de la mise à jour ultérieure :

• (a) données identificatives minimales : nom, prénom ;

• (b) données de contact : adresse e-mail (vérifiée via un message de confirmation avec lien de vérification, selon les modalités décrites à la Section 4.1 des Conditions Générales d'Utilisation), numéro de téléphone mobile lorsque requis pour des fonctionnalités spécifiques (avec vérification via SMS OTP), adresse postale lorsque fournie pour des Expériences réservées sur la marketplace ;

• (c) identifiants d'accès : mot de passe (stocké sous forme hachée avec des algorithmes cryptographiques sécurisés tels que bcrypt ou Argon2 ; en aucun cas conservé en clair), éventuels jetons d'authentification à deux facteurs (2FA) basés sur TOTP et codes de récupération, éventuels identifiants uniques reçus des fournisseurs d'authentification fédérée (SSO Google, Meta/Facebook) ;

• (d) date de naissance, lorsque la Plateforme en prévoit la collecte en application des obligations de vérification de l'âge au sens de l'art. 28 du DSA ou à des fins de participation à des Expériences avec restrictions d'âge ; à défaut, l'Utilisateur confirme lors de l'enregistrement qu'il possède l'âge minimal d'accès prévu par la Section 3 des Conditions Générales d'Utilisation (14 ans pour les résidents en Italie, en application de l'art. 8 du RGPD et de l'art. 2-quinquies du Code italien de la protection des données) ;

• (e) préférences : langue d'interface, devise, villes de destination préférées, catégories d'Expériences d'intérêt, préférences marketing, accessibilité, fuseau horaire ;

• (f) données de Profil public : username (généré automatiquement par le système lors de l'enregistrement sur la base des données fournies, conformément aux dispositions de la Section 4 des Conditions Générales d'Utilisation ; la modification ultérieure sera éventuellement rendue disponible en tant que fonctionnalité en évolution, cf. Section 29 des Conditions Générales d'Utilisation), image de profil (facultative), bio courte (facultative) ;

• (g) paramètres de visibilité et de confidentialité du Profil, gérés de manière autonome par la Personne concernée depuis la page de confidentialité du compte (route account.privacy), comme prévu par la Section 5 des Conditions Générales d'Utilisation. Les paramètres — indépendants les uns des autres — comprennent en particulier :

  • (i) visibilité du Profil (profile_visibility, par défaut : privé) ;

  • (ii) indexation du Profil dans les moteurs de recherche externes (allow_search_indexing, par défaut : désactivée ; opère conjointement avec le Profil public et l'atteinte d'un seuil minimal d'activité) ;

  • (iii) visibilité dans les classements publics (show_in_leaderboards, par défaut : activée) ;

  • (iv) consentement au Tag UGC (allow_ugc_tagging, par défaut : activé).

• (h) adresse IP et user-agent du navigateur, conservés dans les sessions et dans les principaux événements (à titre d'exemple : connexion, check-in) à des fins de sécurité, audit et constatation d'abus, au sens de la Section 4.4 des Conditions Générales d'Utilisation.

3.3 Hôtes. Pour les Hôtes enregistrés sur la marketplace intégrée, sont collectés, en plus des données visées au paragraphe 3.2 le cas échéant :

• (a) données identificatives et fiscales étendues : nom et prénom ou raison sociale, dénomination sociale, siège social, numéro d'inscription au Registre des Entreprises, code fiscal, numéro de TVA avec indication du régime fiscal d'adhésion (ordinaire, simplifié, forfaitaire, régime spécial agritourisme ou B&B), éventuel code REA, indication de qualité de consommateur ou d'entreprise ;

• (b) données du bénéficiaire effectif au sens du Décret législatif italien 231/2007 pour les entités juridiques ;

• (c) données du représentant légal : nom, prénom, code fiscal, position, document d'identité en cours de validité ;

• (d) données bancaires : IBAN pour les paiements, intitulé du compte, BIC/SWIFT pour IBAN hors SEPA, éventuels documents de titularité du compte ;

• (e) données d'assurance : police RC professionnelle ou RC envers tiers (dénomination de la compagnie, numéro, plafond, date d'expiration) ;

• (f) données de conformité : déclarations auto-certifiées au sens du D.P.R. italien 445/2000, attestations de conformité sanitaire/sécurité lorsque requises pour la catégorie d'Expérience, éventuel Code Identificatif National (CIN) pour les structures touristiques au sens de la Loi italienne 191/2023 ;

• (g) données relatives à l'activité : typologies d'Expériences proposées, sièges opérationnels, calendriers de disponibilité, descriptions textuelles et visuelles de l'offre ;

• (h) données des Expériences (limitées à la partie relative à l'Hôte) : description, prix, durée, capacité, location, matériel photographique/vidéo, avis reçus.

3.4 Parrains. Pour les Parrains enregistrés au Programme de Parrainage, sont collectés, en plus des données visées au paragraphe 3.2 le cas échéant :

• (a) données identificatives et fiscales étendues : comme pour les Hôtes, en distinguant le régime occasionnel (personne physique sans n° de TVA) du régime professionnel (personne physique avec n° de TVA ou entité juridique) ;

• (b) données bancaires : IBAN pour les Cashouts, BIC/SWIFT ;

• (c) données de canal promotionnel : identification des canaux promotionnels utilisés (site web, médias sociaux, blog, newsletter, podcast), URL principales, audience indicative, description de l'activité de promotion ;

• (d) Code de Parrainage et Lien de Parrainage assignés au Parrain ;

• (e) données de performance du Parrainage : nombre de Filleuls, nombre d'Actions Qualifiantes, Rémunérations accumulées, Cashouts effectués.

3.B — Données de transaction et de paiement

3.5 Données de transaction. Pour chaque opération transactionnelle effectuée sur la marketplace intégrée de la Plateforme sont collectés :

• (a) identifiant unique de la transaction ;

• (b) montant, devise, date et heure ;

• (c) identifiant de l'Expérience réservée, avec détail du prix unitaire, participants, options achetées ;

• (d) données de l'Hôte bénéficiaire du paiement ;

• (e) données du Parrain éventuellement attribué à la conversion (aux fins du Cookie d'Attribution 90 jours last-click, selon les règles des Conditions du Programme de Parrainage) ;

• (f) statut de la transaction : pending, succeeded, failed, refunded, disputed/chargeback ;

• (g) éventuels remboursements, chargebacks, escrow holds.

3.6 Données de paiement (gérées par Stripe). Les données instrumentales au paiement — numéro de carte, expiration, CVV, authentification 3D Secure, données du device utilisé pour le paiement — sont collectées et traitées exclusivement par Stripe Payments Europe Ltd en qualité de Responsable autonome du traitement. Inmedia S.r.l. n'a pas accès aux données complètes de la carte de paiement ; elle reçoit de Stripe exclusivement :

• (a) un identifiant tokenisé du moyen de paiement (p. ex. les 4 derniers chiffres, marque de la carte, expiration) ;

• (b) le statut de la transaction ;

• (c) éventuels codes d'erreur ou motifs de refus.

3.7 Score de risque Stripe Radar. Pour chaque transaction, Stripe Radar élabore un score de risque antifraude pseudonymisé qui est partagé avec Inmedia S.r.l. aux fins des décisions d'autorisation. Le score comprend des éléments de device fingerprinting, comportementaux et chronologiques, selon les politiques de Stripe Radar.

3.C — Données d'identité et KYC

3.8 Documents d'identité. Pour les Clients qui en font la demande dans des cas spécifiques (p. ex. Expériences avec restrictions d'âge ou exigences réglementaires spécifiques) et — systématiquement — pour les Hôtes et les Parrains, sont collectés, également via le service Stripe Identity :

• (a) document d'identité en cours de validité (carte d'identité, passeport, permis de conduire) : image recto/verso, numéro du document, autorité de délivrance, date de délivrance et d'expiration ;

• (b) selfie ou vidéo de reconnaissance pour la vérification de vie (liveness detection), lorsque applicable ;

• (c) données biométriques générées exclusivement par le fournisseur Stripe Identity pour la correspondance entre document et selfie, en qualité de Sous-traitant de Stripe ; ces données biométriques ne sont pas conservées par Inmedia S.r.l. et sont supprimées par le fournisseur selon ses politiques de conservation, en conformité avec l'art. 9 du RGPD ;

• (d) preuve de résidence pour les seules entités juridiques ou pour les demandes de KYC renforcé (facture, relevé de compte récent) ;

• (e) extrait Kbis ou document équivalent pour les entités juridiques.

3.D — Données fiscales, lutte contre le blanchiment et DAC7

3.9 Données fiscales. Pour les Hôtes et les Parrains sont collectées les données fiscales nécessaires au respect des obligations réglementaires :

• (a) code fiscal (italien) ou TIN (pour les résidents étrangers) pour chaque État de résidence fiscale ;

• (b) numéro de TVA, régime TVA, numéro VIES pour les sujets UE non italiens ;

• (c) certificat de résidence fiscale étranger pour l'application des conventions contre la double imposition ;

• (d) Formulaire W-8BEN ou W-8BEN-E pour les résidents USA ou entités US ;

• (e) Formulaire W-9 avec TIN pour les résidents USA, aux fins du backup withholding et du Form 1099-NEC/1099-K ;

• (f) calculs et certifications fiscales élaborés par le système : retenues à la source, TVA, montants soumis au Form 1099, Certifications Uniques italiennes.

3.10 Données DAC7. Inmedia S.r.l. collecte et vérifie les informations requises par la Directive (UE) 2021/514 (DAC7) et par le Décret législatif italien 32/2023 pour les Vendeurs non exclus :

• (a) pour les personnes physiques : nom, adresse principale, date et lieu de naissance, code fiscal/TIN pour chaque État de résidence fiscale, n° de TVA, identifiant du compte financier (IBAN) ;

• (b) pour les entités juridiques : dénomination, siège, code fiscal/TIN pour chaque État de résidence fiscale, n° de TVA, numéro au Registre des Entreprises, bénéficiaire effectif, identifiant du compte financier.

3.11 Audit log DAC7. Pour assurer la conformité documentaire requise par le Décret législatif italien 32/2023, Inmedia S.r.l. tient un audit log qui enregistre les vérifications effectuées, les incohérences détectées, les corrections apportées et les échanges automatiques de données avec l'Agence des Recettes italienne, conservé pendant 10 ans.

3.12 Données de lutte contre le blanchiment. Aux fins de la lutte contre le blanchiment visée au Décret législatif italien 231/2007 et au Règlement (UE) 2024/1624, lorsque applicables, sont collectées des données relatives à :

• (a) origine des fonds ;

• (b) finalité de la relation économique ;

• (c) structure de propriété des entités juridiques et identification du bénéficiaire effectif ;

• (d) exposition au risque politique (Politically Exposed Persons — PEP) ;

• (e) présence dans les listes de sanctions internationales (ONU, UE, OFAC, HMT).

3.E — Données de géolocalisation

3.13 Géolocalisation approximative. Sont collectées automatiquement des données de géolocalisation approximative (au niveau ville ou région) déduites de l'adresse IP de l'Utilisateur, aux fins de personnalisation des contenus, de prévention des fraudes et de lutte contre le blanchiment.

3.14 Géolocalisation précise. Les données de géolocalisation précise (GPS) sont collectées uniquement après consentement explicite de l'Utilisateur, en particulier :

• (a) lorsque l'Utilisateur active la fonction « Trouver des Expériences près de moi » dans l'App ou sur le web ;

• (b) lorsque l'Utilisateur effectue un check-in géolocalisé auprès d'un Lieu (cf. Art. 3.E-bis) ;

• (c) lorsque l'Utilisateur accorde la géolocalisation système à l'App.

La géolocalisation précise peut être désactivée à tout moment depuis les paramètres de l'appareil. Le consentement peut être révoqué sans préjudice de la licéité du traitement fondé sur le consentement avant la révocation.

3.E-bis — Données de Check-in géolocalisés

3.15 Check-in. Lors du check-in effectué par l'Utilisateur à proximité d'un Lieu, sont collectés :

• (a) coordonnées géographiques GPS (latitude, longitude, éventuelle altitude) acquises depuis l'appareil de l'Utilisateur, avec la précision permise par le système d'exploitation de l'appareil ;

• (b) horodatage du check-in ;

• (c) identifiant du Lieu (POI) auquel le check-in est associé ;

• (d) distance calculée du POI aux fins de validation (formule géodésique de Haversine) ;

• (e) niveau de visibilité choisi par l'Utilisateur pour le check-in individuel (Moi uniquement / Amis / Tous), au sens de la Section 7.1 des Conditions Générales d'Utilisation ;

• (f) éventuel Tag UGC associé (cf. Art. 3.K) ;

• (g) indicateurs techniques utiles au calcul du Trust Score (cf. Art. 3.H).

3.16 Arrondi et pseudonymisation technique. Les coordonnées GPS transmises sont arrondies dans les logs système afin de limiter le niveau de traçage, selon la précision indiquée dans les Spécifications Techniques du Service. Cette opération constitue une pseudonymisation technique au sens de l'art. 4, paragraphe 1, n° 5) du RGPD, et non une anonymisation définitive, dès lors que la traçabilité de la donnée à la Personne concernée reste possible par combinaison avec d'autres informations du compte.

3.17 Anti-spoofing. Aux fins de la vérification de l'authenticité du check-in et de la prévention de simulations de la position via GPS spoofing ou techniques analogues, peuvent être traités des indicateurs comportementaux et de pattern (à titre d'exemple : vitesse de déplacement entre check-ins consécutifs géographiquement éloignés, congruité avec données d'accéléromètre lorsque disponibles) qui convergent dans le calcul du Trust Score (cf. Art. 3.H et Art. 11).

3.F — Données de communication et de support

3.18 Communications avec le service client. Sont collectés les contenus des communications intervenues entre l'Utilisateur et le service client de Stravagando, à travers :

• (a) e-mail à support@stravagando.com ou à des adresses spécifiques (p. ex. legal@, dmca@) ;

• (b) système de ticket interne de la Plateforme ;

• (c) chat en direct (lorsque activé par un fournisseur tiers) — limité à la session de chat ;

• (d) communications téléphoniques — enregistrées uniquement après consentement spécifique de l'Utilisateur, avec avis préalable ;

• (e) éventuelles communications via PEC ;

• (f) conversations de Guest Help pour les Visiteurs non enregistrés, gérées via jeton d'accès temporaire émis à l'adresse e-mail fournie, au sens de la Section 17-ter des Conditions Générales d'Utilisation.

3.19 Messagerie directe entre Utilisateurs. Sont collectés, conservés et — lorsque nécessaire à des fins de sécurité, antifraude, gestion des litiges et conformité au DSA — analysés sous forme automatisée, les contenus des communications intervenues via le système de messagerie intégré de la Plateforme, en particulier :

• (a) communications Hôte-Client en lien avec une réservation sur la marketplace ;

• (b) demandes d'information avant achat de la part de potentiels Clients aux Hôtes ;

• (c) messages directs entre Utilisateurs enregistrés dans le cadre de la communauté sociale, lorsque cette fonctionnalité est rendue disponible par la Plateforme.

Les communications effectuées en dehors du système de messagerie intégré (p. ex. WhatsApp, e-mail direct) ne sont ni collectées ni conservées par Inmedia S.r.l. et échappent aux protections de sécurité et de gestion des litiges offertes par la Plateforme ; les Utilisateurs sont encouragés à utiliser exclusivement le système de messagerie intégré.

3.20 Avis et feedback. Sont collectés les contenus des avis et feedback laissés par les Utilisateurs sur les Expériences, sur les Lieux du catalogue, sur les Hôtes et — en interne — sur les Clients. Les avis publiés sont visibles dans le profil public de l'Expérience/Hôte/Lieu et, lorsque indexables, indexés par les moteurs de recherche ; le username de l'auteur de l'avis est visible publiquement, tandis que les données identificatives complètes ne le sont pas. En application de la Directive (UE) 2019/2161 (Omnibus), Inmedia S.r.l. adopte des mesures adéquates pour s'assurer que les avis publiés proviennent d'Utilisateurs ayant effectivement bénéficié de l'Expérience ou fréquenté le Lieu, avec attestations correspondantes dans le profil de l'Expérience/Lieu.

3.G — Données des Contenus UGC et de communauté

3.21 Contenus publiés par l'Utilisateur. Sont collectés et conservés tous les Contenus UGC publiés par l'Utilisateur sur la Plateforme, selon les principales typologies suivantes :

• (a) photographies téléchargées en tant qu'image de Profil, en tant qu'accompagnement de Contenus UGC ou d'Expériences ;

• (b) publications-récit publiées sur le Mur d'un Lieu ;

• (c) commentaires sur les Contenus d'autres Utilisateurs ;

• (d) likes et autres réactions aux Contenus d'autres Utilisateurs ;

• (e) listes personnelles (Carnets) avec les Lieux/Expériences associés insérés ;

• (f) propositions de nouveaux Lieux à insérer dans le catalogue ;

• (g) suggestions de modification aux Lieux existants.

3.22 Traitement privacy-by-design des photographies (EXIF strip). Pour protéger la vie privée des Utilisateurs, en application de l'art. 25 du RGPD (data protection by design and by default), Inmedia S.r.l. supprime les métadonnées EXIF des photographies téléchargées par l'Utilisateur au moment de leur traitement côté serveur, par recodage de l'image. Sont notamment supprimées : données de géolocalisation (GPS), modèle et numéro de série de l'appareil de prise de vue, date et heure originales, paramètres techniques d'exposition. Inmedia S.r.l. ne conserve pas de copies des métadonnées EXIF supprimées : l'opération est irréversible. La Personne concernée qui souhaiterait préserver les métadonnées d'une photographie qui lui appartient est invitée à conserver l'original de manière autonome, dès lors que la version conservée sur la Plateforme en sera privée.

3.23 Données de relation sociale. Sont collectées les données relatives aux relations sociales entre Utilisateurs sur la Plateforme, telles que :

• (a) relations de suivi (qui suit qui) ;

• (b) suivi réciproque (relations de suivi mutuel, pertinentes aux fins de l'activation du Tag UGC et de certaines fonctionnalités de visibilité au sens des Sections 7 et 8 des Conditions Générales d'Utilisation) ;

• (c) blocages entre Utilisateurs et éventuels signalements.

3.H — Données du Système de Gamification et indicateurs dérivés

3.24 Éléments gamification. Sont collectés et conservés les éléments du Système de Gamification associés à l'Utilisateur, conformément à la Section 9 des Conditions Générales d'Utilisation :

• (a) XP (points d'expérience) accumulés et historique des incrémentations ;

• (b) Niveau atteint et progression ;

• (c) Récompenses débloquées (dénomination technique interne : Achievement), date et contexte du déblocage ;

• (d) Streaks actives et historique des séries consécutives ;

• (e) Level Perks actifs, y compris éventuels codes de réduction générés et beta access activés ;

• (f) données élaborées pour la Year Review périodique.

Les éléments du Système de Gamification ont une nature exclusivement symbolique et ludique et ne constituent pas une monnaie virtuelle ni un bien convertible en argent, au sens de la Section 9.1 des Conditions Générales d'Utilisation. Leur traitement ne constitue pas un profilage au sens de l'art. 4, paragraphe 1, n° 4) du RGPD ni un processus décisionnel automatisé au sens de l'art. 22 du RGPD.

3.25 Trust Score et indicateurs antifraude. Sont élaborés et conservés des indicateurs dérivés de l'activité de l'Utilisateur, en particulier :

• (a) Trust Score (valeur numérique 0-100) calculé automatiquement sur la base de la cohérence technique des check-ins de l'Utilisateur, selon les critères décrits à la Section 11 des Conditions Générales d'Utilisation et détaillés dans les Spécifications Techniques du Service ;

• (b) indicateurs antifraude comportementaux (à titre d'exemple : velocity des check-ins, congruité géographique, pattern de publication UGC, signalements reçus) ;

• (c) indicateurs de fiabilité Hôte (taux d'acceptation des réservations, taux d'annulation, rating moyen, pourcentage de réclamations, qualité des réponses aux communications) ;

• (d) indicateurs de performance du Parrain (taux de conversion, qualité des Filleuls post-onboarding, taux de remboursement/chargeback des réservations des Filleuls) ;

• (e) profil de risque antifraude (synthétisé à partir d'indicateurs comportementaux, technologiques et chronologiques) ;

• (f) statistiques agrégées non identifiantes.

L'incidence de certains de ces indicateurs sur la jouissance du Service est décrite à l'Art. 11 (Processus décisionnel automatisé et profilage).

3.I — Tag UGC et données de modération automatique

3.26 Tag UGC. Pour les Tags UGC appliqués par les Utilisateurs, au sens de la Section 8-bis des Conditions Générales d'Utilisation, sont collectés et conservés :

• (a) identifiant numérique de l'Utilisateur tagueur et identifiant numérique de l'Utilisateur tagué ;

• (b) identifiant du Contenu auquel le Tag est associé (check-in, publication sur le Mur d'un Lieu) ;

• (c) horodatage de création du Tag ;

• (d) horodatage de l'éventuelle suppression du Tag et identifiant numérique de l'Utilisateur ayant exécuté la suppression (tagueur ou tagué) ;

• (e) historique anonymisé de la suppression (horodatage et rôle de l'auteur — tagueur ou tagué — sans identifiant personnel), conservé pendant 24 mois maximum aux fins d'audit de modération et de prévention des abus.

Les Tags UGC ne sont pas utilisés à des fins de profilage ni pour des décisions automatisées au sens de l'art. 22 du RGPD. En particulier, les Tags appliqués aux publications sur le Mur ne contribuent pas à l'attribution d'XP ni au déblocage de Récompenses, en cohérence avec la Section 8-bis.8 des Conditions Générales d'Utilisation. Pour les Tags appliqués aux check-ins dans le cadre du companion tagging, s'applique la discipline de la Section 8 des Conditions Générales d'Utilisation et des reconnaissances de gamification corrélées, décrites à l'Art. 3.H.

3.27 Données de Modération automatique. Pour chaque décision de Modération automatique adoptée par les systèmes d'intelligence artificielle de Tiers utilisés par la Plateforme, sont collectées et conservées dans une table système dédiée les métadonnées suivantes :

• (a) identifiant du Contenu objet d'analyse ;

• (b) décision adoptée (approbation, refus, signalement pour révision manuelle, déclassement) ;

• (c) code motivationnel et catégorie de risque détectée ;

• (d) modèle utilisé et version, seuil de confiance appliqué ;

• (e) scores de confiance élaborés par le système ;

• (f) latence, coût et données opérationnelles de l'appel au fournisseur ;

• (g) résultat d'une éventuelle révision humaine ultérieure et identifiant de l'opérateur ayant effectué le réexamen.

Ces métadonnées sont utilisées à des fins d'audit, d'amélioration des systèmes, de gestion d'éventuelles réclamations et de respect des obligations de transparence prévues par l'AI Act, par le DSA (en particulier l'art. 17 — Statement of Reasons) et par l'art. 22 du RGPD, selon les modalités décrites à l'Art. 11.

3.J — Données de navigation et Outils de Traçage

3.28 Données d'Utilisation. Sont collectées automatiquement, comme décrit en détail dans la Politique Cookies :

• (a) adresse IP (anonymisée, lorsque configurable) ;

• (b) identifiants du device (device fingerprinting, user-agent, système d'exploitation, version du navigateur) ;

• (c) données de session (durée, pages visitées, séquence de navigation, clickstream) ;

• (d) identifiants publicitaires mobiles (IDFA pour iOS, Google Advertiser ID pour Android), uniquement après consentement ;

• (e) referrer URL et paramètres UTM de provenance ;

• (f) interactions avec la Plateforme (boutons cliqués, recherches effectuées, réservations entamées et abandonnées, check-ins tentés et complétés).

3.29 Données conservées localement sur l'appareil de l'Utilisateur. La Plateforme est également conçue comme une Progressive Web App (PWA) installable sur l'appareil de l'Utilisateur et inclut un Service Worker qui utilise les API natives du navigateur (Cache API, IndexedDB, localStorage) à des fins de caching, de mémorisation de préférences, de support hors ligne et de notifications push. Cette mémorisation intervient exclusivement sur l'appareil de l'Utilisateur, ne transfère pas de données à Inmedia S.r.l. de manière directe et ne constitue pas un traitement de Données Personnelles par le Responsable du Traitement dans la mesure où elle reste confinée au navigateur local. L'Utilisateur peut vider cette mémoire à tout moment depuis les paramètres de son navigateur, comme prévu par la Section 18.1 des Conditions Générales d'Utilisation.

3.30 Outils de Traçage de Tiers. Sont collectées des données supplémentaires via les Outils de Traçage de Tiers (Google, Meta, TikTok, LinkedIn, Microsoft, Hotjar et autres), comme détaillé dans la Politique Cookies, exclusivement dans les limites du consentement donné par l'Utilisateur. Inmedia S.r.l. adopte le modèle Consent Mode v2 de Google pour la gestion granulaire du consentement et la conservation de l'historique des choix selon des modalités append-and-update.

3.K — Données de tiers fournies par l'Utilisateur

3.31 Données d'autres participants. Lorsqu'un Client réserve une Expérience pour plusieurs participants, il peut fournir des données de tiers (nom, prénom, éventuellement date de naissance pour les Expériences avec restrictions d'âge). L'Utilisateur qui fournit des données de tiers :

• (a) garantit qu'il en a obtenu le consentement, ou disposer d'une autre base juridique pour le partage ;

• (b) s'engage à fournir à l'intéressé l'avis de confidentialité synthétique disponible dans la section « Je réserve pour d'autres » de la Plateforme, contenant les informations essentielles sur le traitement ;

• (c) tient indemne Inmedia S.r.l. des contestations de tiers résultant de l'absence ou de l'insuffisance d'information, au sens des clauses d'indemnité des Conditions Générales d'Utilisation.

Une responsabilité analogue incombe à l'Utilisateur qui publie des Contenus UGC contenant des données de tiers (à titre d'exemple : photographies représentant des personnes identifiables au-delà de l'Utilisateur lui-même). L'Utilisateur garantit avoir obtenu les autorisations nécessaires des personnes représentées ou nommées, au sens de l'art. 97 de la Loi italienne 633/1941 et de la Section 6.3 des Conditions Générales d'Utilisation.

ART. 4 — FINALITÉS DU TRAITEMENT ET BASES JURIDIQUES

Les Données Personnelles collectées sont traitées pour les finalités décrites ci-après, chacune ayant sa propre base juridique au sens de l'art. 6 (et, le cas échéant, de l'art. 9) du RGPD. La présente section constitue l'information synthétique prévue par l'art. 13, paragraphe 1, lettre c) du RGPD.

4.A — Finalités contractuelles et de fourniture du Service

4.1 Exécution du contrat. Les Données Personnelles sont traitées pour :

• (a) création et gestion du compte Utilisateur, y compris la génération automatique du username et l'éventuelle authentification fédérée (SSO) ;

• (b) fourniture des fonctionnalités non transactionnelles de la Plateforme (Profil, Social, Gamification, exploration du catalogue des Lieux, publication et jouissance des Contenus UGC, participation à la communauté) ;

• (c) fourniture des fonctionnalités de la marketplace (recherche, réservation, paiement, jouissance des Expériences payantes) ;

• (d) gestion des réservations, paiements, annulations et remboursements, y compris l'exécution des Politiques d'Annulation applicables ;

• (e) calcul et versement des Rémunérations Hôte et des Rémunérations Parrain, gestion des Cashouts via Stripe Connect ;

• (f) exécution des check-ins géolocalisés et attribution des éléments du Système de Gamification corrélés (XP, Niveaux, Récompenses, Streaks), y compris l'éventuelle attribution de Tags UGC dans le cadre du companion tagging ;

• (g) publication, visibilité et modération des Contenus UGC selon les paramètres de visibilité gérés de manière autonome par l'Utilisateur et les règles applicables au Tag UGC ;

• (h) gestion de la messagerie entre Utilisateurs (Hôte-Client ; communauté) ; gestion du Guest Help pour les Visiteurs non enregistrés ;

• (i) fourniture du service d'assistance clients ;

• (j) administration des relations de suivi, y compris la gestion des rapports de suivi réciproque pertinents pour l'applicabilité de certaines fonctionnalités (Tag UGC, visibilité des check-ins de niveau « Amis »).

Base juridique : art. 6, paragraphe 1, lettre b) du RGPD — exécution d'un contrat auquel la Personne concernée est partie (Conditions Générales d'Utilisation, Conditions Générales de Vente, Conditions Hôte, Conditions du Programme de Parrainage) ou exécution de mesures précontractuelles à la demande de la Personne concernée.

4.B — Finalités de respect des obligations réglementaires

4.2 Obligations légales. Les Données Personnelles sont traitées pour :

• (a) obligations fiscales : tenue de la comptabilité, facturation électronique via le Système d'Échange italien (SDI), Certifications Uniques italiennes, retenues à la source, déclarations TVA, Form 1099 USA ;

• (b) obligations DAC7 : collecte, vérification, conservation et communication à l'Agence des Recettes italienne et — via échange automatique — aux Autorités fiscales étrangères des données des Vendeurs non exclus (Hôtes et Parrains) ;

• (c) obligations de lutte contre le blanchiment : vérification de la clientèle, conservation du dossier client, signalements d'opérations suspectes à l'UIF, en tenant compte du tipping-off art. 39 du Décret législatif italien 231/2007 (interdiction de révéler le signalement) ;

• (d) respect des sanctions internationales : screening contre les listes de sanctions ONU, UE, OFAC, HMT, blocage d'opérations ou de relations avec des sujets sanctionnés ;

• (e) obligations DSA : publication du Transparency Report périodique, gestion des signalements notice and action au sens de l'art. 16 du DSA, garantie de l'anonymat du signaleur sauf demande de l'Autorité compétente, conservation du log des décisions de modération et des Statements of Reasons, gestion des Trusted Flaggers au sens de l'art. 22 du DSA, communications aux Autorités compétentes via les points de contact désignés (Sections 12-bis.4 et 12-bis.5 des Conditions Générales d'Utilisation) ;

• (f) obligations AI Act : transparence en ce qui concerne l'utilisation de systèmes d'intelligence artificielle pour la Modération automatique des Contenus, au sens du Règlement (UE) 2024/1689, y compris la documentation des décisions et des métadonnées corrélées ;

• (g) obligations P2B : publication des conditions générales, gestion des réclamations internes des Utilisateurs professionnels, médiation externe désignée ;

• (h) réponses aux demandes des Autorités judiciaires, fiscales, administratives, de surveillance ou de sécurité publique italiennes ou étrangères compétentes, dans les limites prévues par la loi applicable (à titre d'exemple : ordonnances de production, saisies probatoires, ordonnances de conservation au sens de l'art. 254-bis du Code de procédure pénale italien, demandes ex Convention de Budapest sur la cybercriminalité).

Base juridique : art. 6, paragraphe 1, lettre c) du RGPD — respect d'obligations légales.

4.C — Finalités de sécurité, antifraude et protection des droits

4.3 Sécurité, antifraude et Trust Score. Les Données Personnelles sont traitées pour :

• (a) prévention et identification d'accès non autorisés, brute force, credential stuffing, account takeover, bots automatisés ; gestion de la ré-authentification pour les opérations sensibles au sens de la Section 4.2 des Conditions Générales d'Utilisation ;

• (b) prévention des fraudes sur les paiements (Stripe Radar, device fingerprinting, velocity check) ;

• (c) prévention des pratiques frauduleuses dans le Programme de Parrainage (Self-Referral, Cookie Stuffing, Click Fraud) et dans le Système de Gamification (comptes multiples, échanges réciproques suspects, simulation d'activité) ;

• (d) calcul du Trust Score des Utilisateurs sur la base de la cohérence technique des check-ins, au sens de la Section 11 des Conditions Générales d'Utilisation et des arts. 3.E-bis et 3.H de la présente Politique, avec les garanties procédurales décrites à l'Art. 11.B ;

• (e) identification de tentatives de GPS spoofing et simulation de la position, aux fins de la protection de l'intégrité du catalogue des Lieux et du Système de Gamification ;

• (f) protection du patrimoine de la Plateforme, des Hôtes, des Clients, des Parrains et des autres Utilisateurs contre les fraudes et abus ;

• (g) protection de la sécurité informatique de la Plateforme au sens de la NIS2 ;

• (h) soutien à l'enquête aux demandes des Autorités judiciaires et de sécurité publique ;

• (i) protection des droits d'Inmedia S.r.l. en cas de litiges judiciaires ou extrajudiciaires, également avec conservation de preuves électroniques.

Base juridique : art. 6, paragraphe 1, lettre f) du RGPD — intérêt légitime d'Inmedia S.r.l. à la sécurité, à la prévention des fraudes, à la protection de ses droits et des droits des Utilisateurs, en équilibre avec les droits et libertés fondamentaux de la Personne concernée. Pour les traitements impliquant des évaluations automatisées de risque, il est renvoyé à l'Art. 11.

4.D — Finalités de Modération automatique des Contenus UGC

4.4 Modération automatique. Les Contenus UGC publiés par l'Utilisateur sont soumis, en amont, à une analyse automatisée au moyen de systèmes d'intelligence artificielle de Tiers, au sens de la Section 12 des Conditions Générales d'Utilisation, en particulier :

• (a) un modèle linguistique pour la classification textuelle des avis, publications, commentaires et propositions ;

• (b) un service d'analyse des images pour la détection de contenus pour adultes, violents ou offensifs dans les photographies.

Les systèmes sont intégrés à un fallback de révision manuelle pour les cas limites, l'indisponibilité des systèmes automatiques ou les Contenus en attente après le dépassement des limites opérationnelles. L'identité spécifique des modèles utilisés, les seuils de confiance, les critères d'accès au fast-track pour les Utilisateurs ayant un historique positif et les limites opérationnelles de dépense sont indiqués dans les Spécifications Techniques du Service.

La Personne concernée a le droit de demander la révision humaine de la décision de modération dans les 14 jours suivant la notification, selon les modalités décrites à l'Art. 11.C, en cohérence avec la Section 12.3 des Conditions Générales d'Utilisation. La révision est effectuée par du personnel qualifié de Stravagando et ne se déroule pas via le même système automatisé qui a émis la décision contestée.

Base juridique :

• art. 6, paragraphe 1, lettre b) du RGPD — exécution du contrat (la modération constitue une condition pour la publication du Contenu sur la Plateforme) ;

• art. 6, paragraphe 1, lettre c) du RGPD — respect d'obligations légales (DSA, AI Act) ;

• art. 6, paragraphe 1, lettre f) du RGPD — intérêt légitime au maintien de l'intégrité et de la qualité de la communauté d'Utilisateurs.

4.E — Finalités d'amélioration du Service

4.5 Analytique et optimisation. Les Données Personnelles sont traitées, sous forme agrégée et anonymisée lorsque possible, pour :

• (a) mesure des performances de la Plateforme et des taux de conversion ;

• (b) analyse du comportement de navigation pour identifier les zones d'amélioration (sous forme agrégée ou, lorsque désagrégée, sur la base du consentement au sens de la Politique Cookies) ;

• (c) tests A/B d'interfaces et de fonctionnalités ;

• (d) élaboration de statistiques internes sur la population des Utilisateurs ;

• (e) amélioration itérative des systèmes de Modération automatique et des algorithmes de calcul du Trust Score, sur la base des métadonnées de décision décrites à l'Art. 3.27 et du résultat d'éventuelles révisions humaines.

Base juridique :

• pour les analytiques agrégées assimilables à techniques (Décision du Garante italien du 10/06/2021, par. 4.2) : art. 122 du Code italien de la protection des données + art. 6, paragraphe 1, lettre f) du RGPD (intérêt légitime à l'amélioration du Service) ;

• pour les analytiques désagrégées : art. 6, paragraphe 1, lettre a) du RGPD — consentement, selon la Politique Cookies.

4.F — Finalités de communication de service

4.6 Communications de service. Sont envoyées à l'Utilisateur des communications en lien avec la fourniture du Service et l'exécution du contrat, au sens de la Section 17 des Conditions Générales d'Utilisation, distinguées en trois catégories :

• (a) catégories essentielles (à titre d'exemple : modifications des Conditions, suspension du compte, alertes de sécurité, reçus marketplace, communications légales, confirmation d'annulation du compte) : non désactivables car nécessaires à l'exécution du contrat et au respect des obligations du Responsable ;

• (b) catégories de service (à titre d'exemple : notifications sociales, gamification, activité marketplace de caractère informatif) : désactivables de manière granulaire depuis les paramètres du compte ;

• (c) catégories de marketing utility liées à la relation contractuelle mais de nature promotionnelle (à titre d'exemple : rappels avant l'Expérience pour les réservations effectuées, invitations à laisser un avis après l'Expérience) : l'envoi est subordonné au consentement opt-in de l'Utilisateur, granulaire pour chaque catégorie.

Les canaux utilisés comprennent e-mail, notifications push web, notifications push mobile (pour les futures Apps natives iOS/Android) et notifications in-app.

Base juridique : art. 6, paragraphe 1, lettre b) du RGPD (exécution du contrat) pour les catégories essentielles et de service ; art. 6, paragraphe 1, lettre a) du RGPD (consentement) pour les catégories de marketing utility.

4.G — Finalités de marketing direct et newsletter

4.7 Marketing direct sur services analogues (soft opt-in). Pour les Utilisateurs ayant effectué au moins une réservation ou créé un compte, des communications de marketing direct peuvent être envoyées sur des services analogues à ceux réservés ou utilisés (p. ex. nouvelles Expériences dans les mêmes villes, nouveaux Hôtes dans la même catégorie), via e-mail et notifications in-App.

Base juridique : art. 6, paragraphe 1, lettre f) du RGPD — intérêt légitime au marketing direct sur services analogues, au sens du Considérant 47 du RGPD et de l'art. 130, alinéa 4 du Code italien de la protection des données. La Personne concernée peut s'opposer à tout moment via le lien d'opt-out présent dans chaque communication, les paramètres du compte ou la demande à legal@stravagando.com.

4.8 Newsletter et marketing direct profilé. Pour les communications de marketing adressées aux Utilisateurs — même non titulaires d'un compte — sur la newsletter périodique et sur les initiatives promotionnelles générales, Inmedia S.r.l. adopte le modèle du double opt-in au sens de la Section 17-bis des Conditions Générales d'Utilisation. La newsletter est proposée indépendamment de la titularité d'un compte ; la base juridique est le consentement explicite de la Personne concernée.

La Personne concernée peut révoquer à tout moment le consentement et se désinscrire de la newsletter via :

• (a) le lien de désinscription présent au bas de chaque e-mail de marketing ;

• (b) le mécanisme de désinscription en un seul clic prévu par les normes sectorielles pour la deliverability (RFC 8058) ;

• (c) la demande envoyée à legal@stravagando.com.

Suite à la désinscription, Inmedia S.r.l. conserve la donnée de la désinscription (adresse e-mail sous forme suffisante à l'identification univoque et métadonnées de révocation) en tant que liste de suppression (suppression list) pour garantir à la Personne concernée le respect dans le temps du choix de ne plus être contactée. La base juridique de cette conservation est l'intérêt légitime à la suppression au sens de l'art. 6, paragraphe 1, lettre f) du RGPD, ainsi que le respect de l'art. 7, paragraphe 3 du RGPD (obligation de respecter la révocation du consentement). La Personne concernée a le droit de demander la suppression également du record de suppression, en prenant note des conséquences (toute future ré-inscription ne sera plus reconnue par le système comme telle).

4.9 Marketing profilé et sur services non analogues. Pour les finalités de marketing direct :

• (a) sur services non analogues (p. ex. promotion de services de Tiers) ;

• (b) profilé sur la base des comportements de navigation désagrégés ;

• (c) via les canaux publicitaires de Tiers (Meta, Google, TikTok, LinkedIn, etc.) ;

• (d) via SMS ou téléphone (lorsque applicable) ;

est collecté le consentement préalable de l'Utilisateur, via le Panneau Préférences de la Politique Cookies, les paramètres du compte ou une case à cocher spécifique.

Base juridique : art. 6, paragraphe 1, lettre a) du RGPD — consentement, révocable à tout moment.

4.10 Exclusion de la publicité ciblée aux mineurs. En conformité avec l'art. 28 du DSA, Inmedia S.r.l. ne présente pas de publicité ciblée fondée sur le profilage au sens de l'art. 4, paragraphe 4 du RGPD aux Utilisateurs pour lesquels existent des indicateurs de minorité d'âge, selon les modalités décrites dans les Spécifications Techniques du Service et en cohérence avec la Section 14-bis.3 des Conditions Générales d'Utilisation.

4.H — Tag UGC : base juridique différenciée

4.11 Traitement du Tag UGC. La fonctionnalité de Tag UGC, décrite à la Section 8-bis des Conditions Générales d'Utilisation et à l'Art. 3.26 de la présente Politique, comporte un traitement de Données Personnelles sur base juridique différenciée en lien avec le rôle de la Personne concernée :

• (a) pour l'Utilisateur destinataire du Tag (Tag « entrant »), le traitement est fondé sur le consentement explicite de la Personne concernée exprimé via le paramètre « Permettre aux autres de me taguer dans les contenus » (allow_ugc_tagging), actif par défaut et révocable à tout moment depuis les paramètres du Profil, au sens de l'art. 6, paragraphe 1, lettre a) du RGPD ;

• (b) pour l'Utilisateur auteur du Tag (Tag « sortant »), le traitement est fondé sur l'exécution du contrat et en particulier des fonctionnalités sociales de la Plateforme auxquelles l'Utilisateur a adhéré via les Conditions Générales d'Utilisation, au sens de l'art. 6, paragraphe 1, lettre b) du RGPD ;

• (c) pour les fonctionnalités corrélées de notification et visualisation, le traitement est fondé sur l'exécution du contrat au sens de l'art. 6, paragraphe 1, lettre b) du RGPD et sur les préférences de notification exprimées par la Personne concernée.

La révocation du paramètre allow_ugc_tagging opère pro-futuro : les tentatives ultérieures de Tag par d'autres Utilisateurs sont silencieusement écartées par le système sans notification au destinataire protégé. Les Tags éventuellement déjà appliqués avant la révocation peuvent être supprimés par la Personne concernée via le panneau du Profil, avec effet immédiat et définitif, en cohérence avec la Section 8-bis.4 des Conditions Générales d'Utilisation.

4.I — Finalités de profilage automatisé

4.12 Profilage automatisé interne. Inmedia S.r.l. effectue des activités de profilage automatisé limitées à :

• (a) personnalisation des résultats de recherche des Expériences et des Lieux suggérés dans l'exploration du catalogue ;

• (b) suggestions d'Expériences et de Lieux cohérentes avec le profil d'intérêt de l'Utilisateur ;

• (c) calcul du rating de fiabilité Hôte et Parrain ;

• (d) calcul du risk score antifraude (décrit à l'Art. 11.A) ;

• (e) calcul du Trust Score (décrit à l'Art. 11.B).

Les activités visées aux lettres (a), (b) et (c) ne produisent pas d'effets juridiques sur la Personne concernée ni ne l'affectent de manière significative. Les activités visées aux lettres (d) et (e) sont potentiellement susceptibles de produire des effets significatifs et sont traitées séparément à l'Art. 11.

Base juridique : art. 6, paragraphe 1, lettres b) et f) du RGPD — exécution du contrat et intérêt légitime à l'amélioration du Service, à la qualité de la communauté et à l'antifraude.

4.J — Catégories particulières de données et données pénales

4.13 Traitements exceptionnels. Lorsque volontairement fournies par l'Utilisateur ou nécessaires à des finalités spécifiques, peuvent être traitées des Données Sensibles ou Pénales exclusivement sur la base de :

• (a) consentement explicite de la Personne concernée, au sens de l'art. 9, paragraphe 2, lettre a) du RGPD ;

• (b) exécution d'obligations de l'employeur ex art. 9, paragraphe 2, lettre b) du RGPD, lorsque applicable (p. ex. pour les données des salariés impliqués dans la fourniture du Service) ;

• (c) intérêt public important ex art. 9, paragraphe 2, lettre g) du RGPD, en application de la réglementation de lutte contre le blanchiment et contre les infractions financières ;

• (d) constatation, exercice ou défense d'un droit en justice ex art. 9, paragraphe 2, lettre f) du RGPD ;

• (e) traitement par les autorités publiques ex art. 10 du RGPD, pour les données pénales, en application des obligations réglementaires.

ART. 5 — MODALITÉS DE COLLECTE DES DONNÉES PERSONNELLES

5.A — Collecte directe auprès de la Personne concernée

5.1 Formulaires d'enregistrement et de profil. Les Données Personnelles d'enregistrement et de profil (paragraphes 3.2-3.4) sont collectées directement auprès de la Personne concernée via les formulaires d'enregistrement et de mise à jour du Profil, dans les versions web et App de la Plateforme. La fourniture de certaines données est nécessaire à l'utilisation des services de la Plateforme ; en cas de non-fourniture, l'utilisation de la fonctionnalité corrélée peut être impossible ou limitée.

5.2 Publication de Contenus UGC. Les Contenus UGC (paragraphes 3.21-3.23) sont collectés directement auprès de la Personne concernée au moment de leur publication sur la Plateforme. Les photographies sont soumises côté serveur au processus de suppression des métadonnées EXIF décrit au paragraphe 3.22.

5.3 Check-ins géolocalisés. Les données de check-in (paragraphes 3.15-3.17) sont collectées directement au moment de l'exécution du check-in par la Personne concernée, après octroi de l'autorisation d'accès au GPS de l'appareil. Les coordonnées transmises sont arrondies dans les logs conformément aux dispositions du paragraphe 3.16.

5.4 Communications avec le service client et avec d'autres Utilisateurs. Les Données Personnelles de communication (paragraphes 3.18-3.19) sont collectées directement auprès de la Personne concernée via les canaux d'assistance et de messagerie de la Plateforme, y compris le Guest Help pour les Visiteurs non enregistrés.

5.5 Insertion d'Expériences (Hôtes). Les données relatives aux Expériences sont saisies directement par l'Hôte via le panneau de gestion du compte ; l'Hôte est exclusivement responsable de la véracité et de l'exhaustivité des données saisies, au sens des Conditions Hôte.

5.6 Mise à jour des paramètres de confidentialité. Les paramètres de visibilité et de confidentialité du Profil (par. 3.2 lettre g) sont collectés et mis à jour directement par la Personne concernée depuis la page account.privacy, avec ré-authentification requise pour les opérations sensibles au sens de la Section 4.2 des Conditions Générales d'Utilisation.

5.B — Collecte auprès de Tiers

5.7 Single Sign-On (SSO). Lorsque l'Utilisateur choisit de s'enregistrer ou de s'authentifier via SSO de fournisseurs tiers (Google, Apple, Meta/Facebook), Inmedia S.r.l. reçoit du fournisseur tiers, en qualité de Responsable autonome, exclusivement les données strictement nécessaires (nom, prénom, adresse e-mail vérifiée, éventuelle image de profil, identifiant unique chez le fournisseur), dans le respect des politiques du fournisseur.

5.8 Stripe Identity (KYC). Pour les procédures KYC, en particulier des Hôtes et Parrains, Inmedia S.r.l. utilise le service Stripe Identity de Stripe Payments Europe Ltd. Stripe Identity acquiert directement les documents d'identité et les selfies/vidéos de vie de la Personne concernée, exécute les contrôles d'authenticité et de match, et communique à Inmedia S.r.l. le résultat synthétique (vérifié/non vérifié) et les coordonnées du document. Inmedia S.r.l. ne reçoit pas les données biométriques brutes et ne conserve pas le selfie/vidéo de la Personne concernée.

5.9 Vérification VIES et registres publics. Pour les numéros de TVA fournis, Inmedia S.r.l. effectue une vérification automatique via le système VIES de la Commission UE pour les n° de TVA UE non italiens, et via les archives de l'Agence des Recettes italienne pour les n° de TVA italiens. Pour les entités juridiques, peuvent être consultés les registres des Entreprises publics pour la vérification de la constitution correcte et des pouvoirs de représentation.

5.10 Listes de sanctions internationales. Inmedia S.r.l. effectue un screening périodique contre les listes de sanctions ONU, UE, OFAC et HMT, via des fournisseurs spécialisés agissant en qualité de Sous-traitants. Les noms et codes fiscaux/TIN des Utilisateurs sont confrontés avec les noms des listes ; en cas de match potentiel, une vérification manuelle est effectuée pour exclure les faux positifs.

5.11 Fournisseurs antifraude de Tiers. À des fins antifraude, Inmedia S.r.l. peut recevoir des informations de risque de fournisseurs spécialisés tels que Stripe Radar, Sift Science et analogues. Ces fournisseurs opèrent en tant que Sous-traitants ou Responsables autonomes selon la configuration contractuelle spécifique.

5.12 Systèmes de Modération automatique. Les métadonnées des décisions de Modération automatique (Art. 3.27) sont générées par les interactions d'Inmedia S.r.l. avec les fournisseurs d'intelligence artificielle de Tiers (modèle linguistique pour les textes et service d'analyse d'images), qui opèrent en qualité de Sous-traitants au sens de l'art. 28 du RGPD. Les Contenus UGC de l'Utilisateur sont transmis à ces fournisseurs exclusivement aux fins de la Modération automatique et pour le temps strictement nécessaire à l'analyse.

5.C — Collecte automatique

5.13 Données d'Utilisation via Outils de Traçage. Les Données d'Utilisation (paragraphes 3.28-3.30) sont collectées automatiquement via les Outils de Traçage décrits dans la Politique Cookies. La collecte intervient sur la base des préférences exprimées par la Personne concernée dans le Panneau Préférences, conformément à la Décision du Garante italien du 10/06/2021 et au modèle Consent Mode v2.

5.14 Logs de sécurité et auditing. Les logs de sécurité des systèmes (accès, transactions, check-ins, erreurs, événements pertinents) sont collectés automatiquement et conservés à des fins de sécurité informatique, d'investigation d'incidents et d'audit au sens de la Section 4.4 des Conditions Générales d'Utilisation.

5.15 Audit trail de la suppression des Tags UGC. La suppression d'un Tag UGC par la Personne concernée taguée ou par l'auteur du Tag génère automatiquement une trace d'audit comprenant horodatage et identifiant de l'auteur de l'opération, au sens du paragraphe 3.26 lettre (d), conservée sous forme anonymisée au-delà des 24 mois aux seules fins de prévention des abus de modération.

5.D — Collecte à partir de sources publiques

5.16 Sources publiques. Limité aux finalités antifraude et de conformité (p. ex. KYC renforcé pour Hôtes avec volumes attendus élevés), Inmedia S.r.l. peut consulter des informations provenant de sources publiques, telles que publications de presse, registres publics, réseaux sociaux professionnels dans les limites permises par les politiques de ces plateformes. Ces consultations sont effectuées dans le respect du principe de minimisation et aux seules finalités susmentionnées.

ART. 6 — MODALITÉS DE TRAITEMENT ET MESURES DE SÉCURITÉ

6.A — Modalités de traitement

6.1 Outils. Le traitement des Données Personnelles intervient à la fois avec des outils automatisés (systèmes informatiques, processus automatiques, algorithmes d'intelligence artificielle pour la Modération automatique et le calcul du Trust Score) et, lorsque nécessaire, manuellement (consultation, modification, gestion des demandes des Personnes concernées, gestion des litiges, révision humaine au sens des arts. 11 et 12). Les données sont conservées sur des systèmes informatiques accessibles au personnel autorisé d'Inmedia S.r.l., aux Sous-traitants et — limitativement à ce qui est strictement nécessaire — aux Autorités compétentes.

6.2 Personnes autorisées au traitement. Les Données Personnelles sont traitées par du personnel d'Inmedia S.r.l. formellement autorisé et formé sur les thèmes de la protection des données personnelles au sens de l'art. 29 du RGPD et de l'art. 2-quaterdecies du Code italien de la protection des données. Les autorisations sont accordées selon le principe du need-to-know (accès minimal nécessaire à la fonction) et du least-privilege, et sont périodiquement révisées.

6.3 Principes. Le traitement est effectué selon les principes de :

• (a) licéité, loyauté et transparence (art. 5, paragraphe 1, lettre a) du RGPD) ;

• (b) limitation des finalités (art. 5, paragraphe 1, lettre b) du RGPD) — les données collectées pour une finalité ne sont pas traitées pour des finalités incompatibles ;

• (c) minimisation (art. 5, paragraphe 1, lettre c) du RGPD) — seules les données pertinentes, adéquates et limitées à ce qui est nécessaire sont collectées ;

• (d) exactitude (art. 5, paragraphe 1, lettre d) du RGPD) — les données sont maintenues à jour et précises ;

• (e) limitation de la conservation (art. 5, paragraphe 1, lettre e) du RGPD) — les données sont conservées pour le temps strictement nécessaire ;

• (f) intégrité et confidentialité (art. 5, paragraphe 1, lettre f) du RGPD) — les données sont protégées contre les traitements non autorisés ou illicites, la perte, la destruction ou les dommages accidentels ;

• (g) responsabilité (accountability) (art. 5, paragraphe 2 du RGPD) — Inmedia S.r.l. maintient la documentation des mesures adoptées et est en mesure de démontrer la conformité.

6.B — Mesures de sécurité techniques

6.4 Mesures techniques. Inmedia S.r.l. adopte des mesures techniques de sécurité adaptées au risque du traitement au sens de l'art. 32 du RGPD, incluant :

• (a) chiffrement des données en transit via TLS 1.2 ou supérieur pour toutes les communications avec la Plateforme ;

• (b) chiffrement des données au repos pour les données sensibles et de particulière pertinence (p. ex. documents d'identité, données bancaires) via des algorithmes de chiffrement standards du secteur (AES-256 ou équivalents) ;

• (c) hachage sécurisé des mots de passe via des algorithmes cryptographiques (bcrypt, scrypt ou Argon2) avec salt unique par mot de passe ;

• (d) authentification à deux facteurs (2FA) basée sur application authentificateur TOTP et codes de récupération, disponible pour tous les comptes ; obligatoire pour Hôtes et Parrains avec volumes pertinents et pour le personnel Inmedia S.r.l. ayant accès aux systèmes critiques, au sens de la Section 4.2 des Conditions Générales d'Utilisation ;

• (e) ré-authentification pour les opérations sensibles (modification e-mail, mot de passe, paramètres de visibilité, indexation, classement, Tag UGC) même avec session active, en protection contre les attaques d'account takeover ;

• (f) ségrégation des environnements de développement, staging et production ;

• (g) firewall, intrusion detection et intrusion prevention aux frontières du réseau ;

• (h) scans périodiques de vulnérabilités et penetration tests annuels ;

• (i) backups chiffrés et géographiquement distribués, avec vérification périodique du restore ;

• (j) mises à jour de sécurité opportunes (patch management) sur les systèmes d'exploitation, applications et bibliothèques ;

• (k) pseudonymisation des données d'analyse lorsque possible, y compris l'arrondi des coordonnées GPS des check-ins dans les logs système (par. 3.16) ;

• (l) suppression irréversible des métadonnées EXIF des photographies téléchargées, en tant que mesure technique de privacy by design (par. 3.22) ;

• (m) conservation de l'adresse IP et user-agent dans les sessions et dans les principaux événements à des fins d'audit, selon le principe de minimisation.

6.C — Mesures de sécurité organisationnelles

6.5 Mesures organisationnelles. Sont également adoptées des mesures organisationnelles telles que :

• (a) politiques de sécurité documentées et périodiquement mises à jour ;

• (b) formation du personnel sur les thèmes de la protection des données ;

• (c) classification des informations par niveaux de sensibilité ;

• (d) data protection by design and by default intégrée dans les nouveaux développements (art. 25 du RGPD), avec une référence particulière aux fonctionnalités sociales et de géolocalisation (paramètres de confidentialité par défaut restrictifs, choix granulaire de la visibilité pour le check-in individuel, opt-outs granulaires) ;

• (e) analyse d'impact relative à la protection des données (AIPD/DPIA) au sens de l'art. 35 du RGPD pour les traitements à haut risque, y compris ceux concernant la Modération automatique IA, le calcul du Trust Score et le traitement des check-ins géolocalisés ;

• (f) registre des activités de traitement au sens de l'art. 30 du RGPD ;

• (g) audits internes et indépendants périodiques, y compris sur l'efficacité des systèmes de Modération automatique ;

• (h) procédure de gestion des incidents de sécurité intégrée à la procédure de notification de la Violation de Données.

6.D — Sécurité au sens de la NIS2

6.6 Conformité NIS2. Dans les limites des exigences applicables à Inmedia S.r.l. au sens de la Directive (UE) 2022/2555 (NIS2) telle que transposée en Italie, sont adoptées des mesures de sécurité informatique proportionnées au niveau de risque identifié, avec une référence particulière à : gestion des risques cyber, incident response, continuité opérationnelle, sécurité de la supply chain, formation du personnel.

6.E — Violation de Données

6.7 Procédure. En cas de Violation de Données avec risque pour les droits et libertés des Personnes concernées, Inmedia S.r.l. notifie au Garante italien dans les 72 heures de la connaissance de l'incident (art. 33 du RGPD) et — lorsque le risque est élevé — communique rapidement l'événement aux Personnes concernées selon les modalités et avec les contenus prévus par l'art. 34 du RGPD. Inmedia S.r.l. maintient un registre interne de toutes les Violations de Données, indépendamment de leur gravité.

ART. 7 — DESTINATAIRES DES DONNÉES PERSONNELLES ET COMMUNICATION

Les Données Personnelles peuvent être communiquées aux catégories de destinataires décrites ci-après, chacune dans les limites et aux finalités indiquées ci-après. La communication est régie par des accords contractuels spécifiques ou, lorsque requis par la loi, intervient en application d'obligations réglementaires.

7.A — Sous-traitants

7.1 Sous-traitants. Les catégories de sujets suivantes opèrent en qualité de Sous-traitants au sens de l'art. 28 du RGPD, sur la base d'accords contractuels (DPA — Data Processing Agreement) qui régissent la nature, l'objet, la durée, les finalités du traitement, les types de données, les catégories de personnes concernées, les obligations et droits du Responsable :

• (a) fournisseurs de cloud hosting (p. ex. Amazon Web Services, Google Cloud, Microsoft Azure, Laravel Cloud) — hébergement de l'infrastructure applicative ;

• (b) fournisseurs de services de sécurité et edge (p. ex. Cloudflare, Akamai) — protection DDoS, Web Application Firewall, Content Delivery Network, caching aux bords du réseau ;

• (c) fournisseurs de services d'analytique (configurés en tant que Sous-traitants — p. ex. Matomo self-hosted, Plausible Analytics) — analytique web en modalité anonymisée ;

• (d) fournisseurs de services de courrier électronique transactionnel et de newsletter (p. ex. SendGrid, Mailgun, Postmark, Brevo, Klaviyo) — envoi d'e-mails transactionnels, de service et de marketing ;

• (e) fournisseurs de services de SMS et push notification (p. ex. Twilio, Firebase Cloud Messaging) — envoi d'OTP, alertes, notifications push ;

• (f) fournisseurs de services de customer support (p. ex. Intercom, Zendesk, Freshdesk, HubSpot) — gestion technique du système de ticket et du Guest Help ;

• (g) fournisseurs de services antifraude (configurés en tant que Sous-traitants) — risk scoring, device fingerprinting ;

• (h) fournisseurs de services KYC (p. ex. Stripe Identity pour la partie de traitement opérée sur instruction) — vérification documentaire ;

• (i) fournisseurs de systèmes d'intelligence artificielle pour la Modération automatique de Contenus UGC, en particulier :

  • (i.1) Anthropic, PBC — modèle linguistique pour la classification textuelle des avis, publications, commentaires et propositions ;

  • (i.2) Google LLC — service d'analyse des images (Vision API) pour la détection de contenus pour adultes, violents ou offensifs dans les photographies ;

• (j) cabinets juridiques et consultants liés par le secret professionnel, pour les activités de conseil juridique, fiscal et de conformité ;

• (k) sociétés de révision comptable et de certification, pour les obligations légales.

7.2 Liste mise à jour. La liste mise à jour des Sous-traitants nommés par Inmedia S.r.l., avec indication de leur localisation et des garanties de transfert adoptées, est disponible sur demande de la Personne concernée à l'adresse legal@stravagando.com.

7.B — Responsables autonomes

7.3 Responsables autonomes. Les catégories de sujets suivantes reçoivent des Données Personnelles en qualité de Responsables autonomes du traitement, poursuivant des finalités déterminées par eux de manière autonome. Inmedia S.r.l. n'est pas responsable des traitements effectués par ces sujets, auxquels il est renvoyé pour leurs politiques de confidentialité respectives :

• (a) Stripe Payments Europe Ltd — pour les services de paiement, escrow, Connect, antifraude Radar, KYC Identity (pour la partie autonome du traitement), reporting fiscal ;

• (b) établissements bancaires du Responsable et des Utilisateurs — pour l'exécution des paiements SEPA et SWIFT ;

• (c) plateformes publicitaires et réseaux sociaux (Meta, Google, TikTok, LinkedIn, Microsoft, Pinterest, X, Reddit, Snapchat) — pour les finalités marketing et profilage, sur la base du consentement donné par l'Utilisateur, sous réserve des limitations pour les mineurs visées à l'Art. 4.10 ;

• (d) fournisseurs SSO (Google, Apple, Meta/Facebook) — pour les services d'authentification single sign-on ;

• (e) Autorités judiciaires, fiscales, administratives, de surveillance et de sécurité publique italiennes et étrangères compétentes, en application des obligations réglementaires ou des demandes autoritatives légitimes, y compris les Coordinateurs des Services Numériques au sens du DSA, les Trusted Flaggers reconnus au sens de l'art. 22 du DSA, la Commission UE pour les échanges dans le cadre du Statements of Reasons database ;

• (f) Agence des Recettes italienne — pour les obligations DAC7 et fiscales ;

• (g) UIF auprès de la Banque d'Italie — pour les signalements de lutte contre le blanchiment ;

• (h) Internal Revenue Service (IRS) américain — pour les Form 1099 et les obligations fiscales USA des Utilisateurs résidents USA.

7.4 OpenStreetMap Foundation. Une part importante des données du catalogue des Lieux est obtenue auprès d'OpenStreetMap, distribuée sous licence Open Database License (ODbL) v1.0. Cette circonstance n'entraîne pas de traitement de Données Personnelles des Utilisateurs par OpenStreetMap Foundation en lien avec l'utilisation du Service par les Utilisateurs, et l'attribution « © OpenStreetMap contributors » est affichée sur chaque page présentant des données OSM au sens de la Section 15.2 des Conditions Générales d'Utilisation.

7.C — Communication entre Utilisateurs de la Plateforme

7.5 Transparence entre Hôte et Client. Les Données Personnelles sont communiquées entre Hôte et Client, dans la mesure strictement nécessaire à l'exécution des réservations sur la marketplace, selon les règles suivantes :

• (a) avant la confirmation de la réservation : l'Hôte voit le prénom et l'initiale du nom du Client, l'image de profil, le rating agrégé et le nombre d'Expériences déjà complétées ;

• (b) après la confirmation de la réservation : l'Hôte reçoit le nom complet du Client, contact e-mail et téléphonique pour la communication opérationnelle ;

• (c) le Client voit toujours le profil public de l'Hôte, avec données commerciales (dénomination, ville, rating, avis publics).

L'Hôte et le Client agissent chacun en qualité de Responsable autonome du traitement pour les données ainsi communiquées, et s'engagent — au sens de leurs Conditions Générales respectives — à traiter les données reçues exclusivement aux fins d'exécution de l'Expérience réservée, dans le respect de la réglementation en matière de protection des données personnelles. Inmedia S.r.l. n'est pas responsable des traitements effectués par l'Hôte ou le Client en qualité de Responsables autonomes.

7.6 Visibilité entre Utilisateurs de la communauté sociale. Dans le cadre des fonctionnalités sociales de la Plateforme, les Données Personnelles de l'Utilisateur sont visibles à d'autres Utilisateurs enregistrés et — lorsque le Profil est paramétré comme public et indexable — au public général, selon les paramètres gérés de manière autonome par la Personne concernée (par. 3.2 lettre g). Cette visibilité comprend, selon les paramètres :

• (a) le username, l'image de Profil et la bio courte ;

• (b) les Contenus UGC publiés avec visibilité publique ou étendue au réseau de suivi réciproque (publications, commentaires, avis, photographies, check-ins avec visibilité « Amis » ou « Tous ») ;

• (c) la position dans les classements publics (Niveau, XP de la période), pour les Utilisateurs qui maintiennent activé le paramètre show_in_leaderboards ;

• (d) les mentions reçues via Tags UGC valablement appliqués ;

• (e) les relations de suivi lorsque rendues visibles.

Les autres Utilisateurs qui jouissent de ces Contenus agissent chacun à des fins personnelles ou, si commerciales, en qualité de Responsables autonomes du traitement, sous réserve des restrictions d'usage prévues par les Conditions Générales d'Utilisation (en particulier l'interdiction du scraping non autorisé, visée à la Section 14).

7.7 Avis publics. Les avis laissés par les Utilisateurs sur les Expériences, sur les Lieux et sur les Hôtes sont publiés sur le profil public de l'Expérience/Lieu/Hôte avec visibilité du username de l'auteur de l'avis, et sont indexables par les moteurs de recherche lorsque le Profil de l'auteur de l'avis est paramétré comme indexable ou lorsque le public est paramétré au niveau du Lieu. L'Utilisateur qui publie un avis :

• (a) consent à la publication et à la visibilité publique ;

• (b) garantit que le contenu est véridique, basé sur une expérience réelle au sens de la Directive (UE) 2019/2161, et ne viole pas les droits de tiers ;

• (c) peut demander la modification ou la suppression de son avis via le panneau du compte ou demande à legal@stravagando.com.

7.8 DSA — Notice & Action et protection de l'anonymat du signaleur. En application du Règlement (UE) 2022/2065 (DSA), Inmedia S.r.l. met à disposition un mécanisme de signalement de contenus potentiellement illégaux ou portant atteinte aux droits de tiers (procédure notice and action), accessible depuis la section dédiée de la Plateforme. Les signalements et les décisions de modération sont enregistrés et conservés, avec référence aux sujets impliqués, selon les délais de conservation visés à l'Art. 9.

L'identité du signaleur n'est pas exposée à l'Utilisateur signalé à aucune étape de la procédure, en cohérence avec la Section 12-bis.1 des Conditions Générales d'Utilisation et en protection contre les représailles et en garantie de la liberté de signalement. L'identité du signaleur peut être révélée exclusivement sur demande de l'Autorité compétente.

7.D — Communications en cas d'opérations extraordinaires

7.9 Cession, fusion, acquisition. En cas de cession, fusion, acquisition ou autre opération extraordinaire impliquant Inmedia S.r.l. (ou branche d'entreprise comprenant la Plateforme), les Données Personnelles peuvent être transférées au cessionnaire/absorbant en qualité de nouveau Responsable du traitement, selon des modalités conformes à l'art. 4 du RGPD et avec information préalable adéquate aux Personnes concernées lorsque prévue par la loi applicable. Reste ferme le droit de la Personne concernée de s'opposer au transfert lorsque la base juridique du traitement ultérieur le permet.

7.E — Interdiction de vente

7.10 No sale. Inmedia S.r.l. ne vend pas les Données Personnelles des Utilisateurs à des tiers à des fins commerciales. Pour les résidents USA, voir l'Art. 13 suivant en matière de CCPA/CPRA pour la définition de « sale » et de « sharing ».

ART. 8 — TRANSFERTS HORS EEE

8.1 Principe. Certains des traitements décrits comportent le transfert de Données Personnelles en dehors de l'Espace Économique Européen (EEE), en particulier vers les États-Unis d'Amérique, le Royaume-Uni et d'autres Pays tiers, en lien avec la fourniture de services essentiels à la Plateforme (paiements, cloud hosting, marketing, support clients, KYC, Modération automatique avec systèmes d'intelligence artificielle).

8.2 Garanties adoptées. Les transferts hors EEE interviennent dans le respect du Chapitre V du RGPD, via une ou plusieurs des garanties suivantes :

• (a) Décisions d'adéquation de la Commission UE au sens de l'art. 45 du RGPD, lorsque applicables (Royaume-Uni, Suisse, Israël, Canada partiel, Andorre, Argentine, Japon, Nouvelle-Zélande, République de Corée, Uruguay, États-Unis limité aux organisations certifiées au EU-US Data Privacy Framework) ;

• (b) EU-US Data Privacy Framework pour les transferts aux États-Unis, avec confirmation de la certification du destinataire au framework approuvé par la Commission UE par Décision d'adéquation du 10 juillet 2023 ;

• (c) Clauses Contractuelles Types (CCT) approuvées par la Commission UE par Décision d'exécution 2021/914, au sens de l'art. 46, paragraphe 2, lettre c) du RGPD, complétées par des mesures techniques et organisationnelles supplémentaires lorsque nécessaire sur la base du Transfer Impact Assessment (TIA) conduit par Inmedia S.r.l. ;

• (d) Règles d'entreprise contraignantes (Binding Corporate Rules — BCR) approuvées au sens de l'art. 47 du RGPD, lorsque applicables au destinataire ;

• (e) dérogations ex art. 49 du RGPD, dans des cas spécifiques et résiduels (p. ex. consentement explicite de la Personne concernée, exécution d'un contrat à sa demande, motifs d'intérêt public).

8.3 Transparence. Inmedia S.r.l. fournit à la Personne concernée qui en fait la demande — à l'adresse legal@stravagando.com — une copie des garanties adoptées pour le transfert hors EEE spécifique, selon des modalités conformes à l'art. 13, paragraphe 1, lettre f) du RGPD.

8.4 Principaux transferts spécifiques. À titre informatif, les principaux transferts hors EEE actuellement effectués concernent :

• (a) États-Unis — paiements : Stripe Payments Europe Ltd partage avec Stripe Inc. (société mère) une partie des données de paiement, avec adoption des CCT complétées par des mesures techniques supplémentaires ;

• (b) États-Unis — cloud et sécurité : Google Cloud, Microsoft Azure (limité à des régions non-UE sélectionnées), Cloudflare, Amazon Web Services pour les seules régions non européennes lorsque exceptionnellement utilisées, sous EU-US Data Privacy Framework et CCT résiduelles lorsque nécessaires ;

• (c) États-Unis — Modération automatique : Anthropic, PBC pour le modèle linguistique de classification textuelle des Contenus UGC, sous CCT complétées et — lorsque la certification est maintenue par le destinataire — EU-US Data Privacy Framework ; Google LLC pour le service Vision API d'analyse des images, dans les mêmes conditions ;

• (d) Royaume-Uni : certains fournisseurs d'analytique et de sécurité ont une partie d'opérations au Royaume-Uni, sous Décision d'adéquation UK ;

• (e) États-Unis — marketing : les partenaires publicitaires Meta, Google, TikTok, LinkedIn, Microsoft à des fins de marketing, sous CCT et EU-US DPF.

ART. 9 — CONSERVATION DES DONNÉES PERSONNELLES

Les Données Personnelles sont conservées pendant le temps strictement nécessaire à la poursuite des finalités pour lesquelles elles ont été collectées, selon le principe de limitation de la conservation visé à l'art. 5, paragraphe 1, lettre e) du RGPD. Sont reportés ci-dessous les délais de conservation typiques, sauf causes de prolongation liées à des litiges, à des enquêtes par les Autorités compétentes, à des obligations réglementaires survenant, à l'exercice de droits de la Personne concernée, ou à des hypothèses de Legal Hold visées à l'Art. 9-bis.

9.A — Compte et Profil

9.1 Compte actif. Les données du compte et du Profil sont conservées pendant toute la durée de la relation contractuelle (compte actif).

9.2 Annulation volontaire self-service. En cas d'annulation du compte sur demande directe de la Personne concernée via la fonctionnalité self-service de la Plateforme (route account.gdpr.delete, au sens de la Section 20 des Conditions Générales d'Utilisation), les données identificatives du compte sont soumises à soft-delete et conservées pendant 90 jours à compter de la date de la demande, à l'issue desquels elles sont définitivement supprimées. Ce délai est justifié par la nécessité de gérer d'éventuelles réclamations, contestations d'abus et conformité légale, en cohérence avec les règles de retention appliquées aux Utilisateurs sanctionnés.

9.3 Suspension, sanction ou ban du compte. En cas de suspension ou de ban du compte au sens de la Section 13 des Conditions Générales d'Utilisation, les Contenus publics de l'Utilisateur sont immédiatement masqués et conservés en soft-delete pendant 90 jours, à l'issue desquels ils sont définitivement supprimés, sous réserve des hypothèses de Legal Hold.

9.4 Compte non activement clôturé. En l'absence de demande explicite d'annulation par la Personne concernée et en l'absence de sanctions, les données du compte peuvent être conservées pendant 24 mois supplémentaires après la dernière activité significative relevée, aux fins de gestion d'éventuels litiges et demandes des Autorités compétentes. Inmedia S.r.l. se réserve la faculté d'introduire, au sens de la Section 21 des Conditions Générales d'Utilisation, un mécanisme de clôture automatique pour inactivité prolongée, avec préavis non inférieur à 30 jours par e-mail.

9.B — Contenus UGC

9.5 Contenus UGC supprimés volontairement. Les Contenus UGC supprimés par la Personne concernée via les fonctionnalités de la Plateforme sont soumis à soft-delete : rendus immédiatement invisibles depuis l'interface publique et conservés en base de données pendant 30 jours à des fins d'éventuels audits, contrôles de sécurité et procédures disciplinaires internes, à l'issue desquels ils sont définitivement supprimés, au sens de la Section 6.5 des Conditions Générales d'Utilisation et sous réserve des hypothèses de Legal Hold.

9.6 Contenus UGC publiés et actifs. Les Contenus UGC publiés et actifs sont conservés pendant la durée de la publication, normalement pour la durée du compte de la Personne concernée qui les a publiés, sauf demande de suppression de la Personne concernée ou exercice de droits.

9.7 Avis publics. Les avis laissés sur les Expériences et les Lieux sont conservés pour la durée de la publication du profil de l'Expérience/Lieu, sauf demande de rectification ou de suppression par l'auteur de l'avis ou exercice de droits de la Personne concernée. La cessation de l'activité de l'Hôte n'entraîne pas automatiquement la suppression des avis historiques, ces derniers étant pertinents pour la communauté des Utilisateurs.

9.C — Check-in et Système de Gamification

9.8 Check-ins. Les check-ins sont conservés dans l'historique d'activité de l'Utilisateur pour un temps indéfini durant la vie du compte, sauf suppression sur demande de la Personne concernée ou exercice des droits visés à l'Art. 10. La suppression d'un check-in le retire de l'interface publique et de l'historique personnel, mais n'entraîne pas automatiquement la diminution des XP accumulés ni la perte des Récompenses obtenues, en considération de l'irrévocabilité historique des reconnaissances de gamification, sous réserve des hypothèses de constatation d'abus ou de fraude au sens de la Section 7.2 des Conditions Générales d'Utilisation.

9.9 Éléments du Système de Gamification. Les XP, Niveaux, Récompenses, Streaks et autres éléments du Système de Gamification sont conservés pour la durée du compte de l'Utilisateur. En cas d'annulation du compte, les éléments sont supprimés sans droit à indemnité, en cohérence avec leur nature symbolique (Section 9.1 des Conditions Générales d'Utilisation). Reste ferme la conservation sous forme agrégée et anonymisée des données statistiques, lorsque techniquement irréversible.

9.D — Tag UGC et Modération automatique

9.10 Tag UGC. Les Tags UGC associés aux Contenus sont conservés pour la durée de vie du Contenu auquel ils sont associés. En cas de suppression du Tag par la Personne concernée (tagueur ou tagué), l'association entre identifiant Utilisateur et identifiant Contenu est immédiatement supprimée ; le fait historique de la suppression reste conservé sous forme anonymisée (horodatage et rôle de l'auteur — tagueur ou tagué — sans identifiant personnel) pendant 24 mois maximum, à des fins d'audit de modération et de prévention des abus, en cohérence avec le paragraphe 3.26 lettre (e).

9.11 Métadonnées de Modération automatique. Les métadonnées des décisions de Modération automatique (par. 3.27) sont conservées pendant 36 mois à compter de la décision, prolongeables en cas de litige, de réclamation DSA non encore définie ou d'enquêtes par les Autorités compétentes. La conservation répond aux finalités d'audit, d'amélioration des systèmes, de gestion des réclamations, de respect des obligations de transparence prévues par l'AI Act et par le DSA, et de protection des droits d'Inmedia S.r.l. dans les litiges.

9.E — Données de transaction, fiscales et de lutte contre le blanchiment

9.12 Données de transaction et de facturation. Conservées pendant 10 ans à compter de la date de la transaction, au sens de l'art. 2220 du Code civil italien et de la réglementation fiscale (D.P.R. italien 600/1973, D.P.R. italien 633/1972).

9.13 Données DAC7. Audit log DAC7 et dataset transmis à l'Agence des Recettes italienne : 10 ans à compter de la transmission, au sens du Décret législatif italien 32/2023.

9.14 Données de lutte contre le blanchiment. 5 ans à compter de la cessation de la relation, au sens de l'art. 31 du Décret législatif italien 231/2007 et du Règlement (UE) 2024/1624. Pour les signalements d'opérations suspectes à l'UIF, conservation selon les indications de la réglementation applicable et dans le respect de l'interdiction de tipping-off.

9.15 Données KYC et documents d'identité. Pour la durée de la relation contractuelle et pendant 5 ans suivants, sous réserve des nécessités de lutte contre le blanchiment. Les données biométriques éventuellement générées par Stripe Identity ne sont pas conservées par Inmedia S.r.l. et sont soumises aux politiques de conservation de Stripe.

9.F — Communications, sécurité et marketing

9.16 Communications avec le service client. 24 mois à compter de la date de la communication, prolongeables en cas de litige ou d'enquêtes par les Autorités.

9.17 Conversations de Guest Help. Les conversations avec les Visiteurs non enregistrés gérées via jeton e-mail sont soumises à clôture automatique pour inactivité après un délai déterminé (indiqué dans les Spécifications Techniques du Service), à l'issue duquel les données sont conservées selon les règles de conservation appliquées aux Contenus UGC.

9.18 Messagerie entre Utilisateurs via la Plateforme. 18 mois à compter de la date du dernier message dans la conversation, prolongeables en cas de litige ou de signalement DSA. Les communications opérationnelles liées à une réservation conclue peuvent être conservées pendant la durée de la période de garantie/réclamation du service corrélée.

9.19 Données de sécurité et antifraude. 24 mois à compter de la collecte, prolongeables en cas de nécessités d'enquête ou de litiges.

9.20 Données de marketing et profilage. Jusqu'à 24 mois à compter de la dernière interaction de l'Utilisateur avec la communication de marketing ou, si antérieure, jusqu'à la révocation du consentement. Données de profilage désagrégées : selon les délais spécifiques des Outils de Traçage individuels, indiqués dans la Politique Cookies.

9.21 Listes de suppression des newsletters. Conservation indéfinie des seules informations minimales nécessaires à empêcher la ré-inscription d'une Personne concernée qui s'est désinscrite, jusqu'à demande de suppression également du record de suppression par la Personne concernée elle-même.

9.22 Données des Outils de Traçage (Cookie). Cf. Politique Cookies pour les délais spécifiques par catégorie.

9.23 Consent log. 10 ans à compter de la collecte du consentement ou de la révocation, à des fins probatoires et d'accountability.

9.24 Logs d'audit de sécurité. 24 mois, prolongeables en cas d'enquêtes ou de litiges.

9.25 Données relatives à des litiges. Pendant toute la durée du litige et pour les délais prescriptifs ultérieurs au sens du Code civil italien (typiquement 10 ans à compter de la cessation de l'affaire), ou pour des délais plus longs prévus par les Autorités compétentes.

9.G — Suppression et anonymisation

9.26 Suppression automatique. À l'expiration des délais de conservation, les Données Personnelles sont supprimées ou anonymisées de manière irréversible. La suppression est exécutée automatiquement par les systèmes informatiques, avec vérification périodique via audit.

9.27 Conservation sous forme anonymisée. Les données peuvent être conservées sous forme anonymisée (c'est-à-dire non rapportables à une personne identifiée ou identifiable) également au-delà des délais indiqués ci-dessus, à des fins statistiques et d'amélioration du Service. L'anonymisation est exécutée selon des normes techniques reconnues qui empêchent la ré-identification.

ART. 9-bis — LEGAL HOLD ET PROLONGEMENT DE LA CONSERVATION

Le présent article décrit le régime du Legal Hold, c'est-à-dire la prolongation de la conservation de Données Personnelles ou de Contenus spécifiques en dérogation aux délais ordinaires indiqués à l'Art. 9, en cohérence avec la Section 16.1 des Conditions Générales d'Utilisation.

9-bis.A — Présupposés

9-bis.1 Hypothèses de Legal Hold. Inmedia S.r.l. se réserve la faculté de prolonger la conservation de données ou de Contenus spécifiques au-delà du délai standard visé à l'Art. 9, limitativement à ce qui et pendant le temps strictement nécessaires, à la survenance de l'une des circonstances suivantes :

• (a) demande formelle de l'Autorité judiciaire, de la Police judiciaire ou d'une autre Autorité compétente — à titre d'exemple : ordonnances de production, saisies probatoires, ordonnances de conservation au sens de l'art. 254-bis du Code de procédure pénale italien, demandes au sens de la Convention de Budapest sur la cybercriminalité, décisions du Garante italien ;

• (b) procédure disciplinaire interne ou réclamation DSA en cours au sens des Sections 12-bis et 13 des Conditions Générales d'Utilisation, jusqu'à sa définition corrélée ;

• (c) litige légal, judiciaire ou extrajudiciaire, pendant ou raisonnablement prévisible, concernant les données ou Contenus en question, pour la constatation ou la défense d'un droit en justice (art. 17, paragraphe 3, lettre e) du RGPD) ;

• (d) obligation légale spécifique qui impose la conservation — à titre d'exemple : obligations fiscales au sens de l'art. 2220 du Code civil italien pour les données relatives aux transactions sur la marketplace ; obligations de lutte contre le blanchiment au sens du Décret législatif italien 231/2007 et du Règlement (UE) 2024/1624 ; obligations de reporting fiscal au sens de la Directive (UE) 2021/514 (DAC7) et du Décret législatif italien 32/2023 ; obligations de conservation des données de trafic télématique au sens du Décret législatif italien 196/2003.

9-bis.B — Modalités d'application

9-bis.2 Critères. Dans tous les cas de Legal Hold :

• (a) la conservation est limitée aux données et Contenus spécifiquement pertinents pour la finalité justifiant la prolongation et ne s'étend pas à l'ensemble du patrimoine informationnel de la Personne concernée ;

• (b) les données en Legal Hold sont accessibles exclusivement au personnel autorisé et aux destinataires de la demande légitime, et n'entrent pas dans la visibilité ordinaire de la Plateforme ;

• (c) la durée est celle strictement nécessaire à l'atteinte de la finalité ; à la cessation de la cause, les données sont supprimées sans autre délai ;

• (d) sauf interdiction de l'Autorité requérante ou de normes de loi (à titre d'exemple : secret de l'instruction au sens de l'art. 329 du Code de procédure pénale italien), Inmedia S.r.l. informe la Personne concernée de la prolongation effectuée et de la motivation corrélée, de manière compatible avec les nécessités d'enquête.

9-bis.C — Effets sur les droits de la Personne concernée

9-bis.3 Exercice des droits RGPD. L'existence d'une procédure de Legal Hold ne suspend pas ni ne limite en soi les droits de la Personne concernée visés aux art. 15-22 du RGPD, sous réserve des exceptions prévues par l'art. 23 du RGPD et par la réglementation applicable (secret d'instruction, nécessités judiciaires, etc.). L'exercice du droit à l'effacement (art. 17 du RGPD) peut être temporairement suspendu, pour les seules données et pour le temps strictement nécessaire, en cohérence avec l'art. 17, paragraphe 3 du RGPD. La Personne concernée est informée de l'éventuelle suspension, sous réserve des dispositions du paragraphe 9-bis.2 lettre (d).

9-bis.4 Droit à la portabilité. L'export de données aux fins de portabilité visé à l'art. 20 du RGPD n'inclut pas les Contenus éventuellement soumis à Legal Hold ; l'inclusion de ces Contenus est possible exclusivement sur demande formelle de l'Autorité compétente.

ART. 10 — DROITS DES PERSONNES CONCERNÉES

La Personne concernée a le droit d'exercer, à tout moment et gratuitement (sauf demandes manifestement infondées ou excessives, en particulier en raison de leur caractère répétitif, pour lesquelles Inmedia S.r.l. pourra exiger une contribution raisonnable aux frais ou refuser de donner suite à la demande, au sens de l'art. 12, paragraphe 5 du RGPD), les droits décrits ci-après.

10.A — Droits prévus par le RGPD

10.1 Droit d'accès (art. 15 du RGPD). La Personne concernée a le droit d'obtenir confirmation qu'un traitement de Données Personnelles la concernant a lieu ou non et, dans l'affirmative, accès à ces Données Personnelles et aux informations indiquées dans la présente Politique. Sur demande, Inmedia S.r.l. fournit une copie des Données Personnelles objet du traitement.

10.2 Droit de rectification (art. 16 du RGPD). La Personne concernée a le droit d'obtenir la rectification des Données Personnelles inexactes la concernant sans délai injustifié, ainsi que l'intégration des Données Personnelles incomplètes, également en fournissant une déclaration intégrative. La plupart des données de Profil peuvent être modifiées de manière autonome par la Personne concernée depuis l'espace réservé de son compte.

10.3 Droit à l'effacement (« droit à l'oubli ») (art. 17 du RGPD). La Personne concernée a le droit d'obtenir la suppression de ses Données Personnelles, dans les cas prévus par l'art. 17 du RGPD, en particulier lorsque :

• (a) les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ;

• (b) la Personne concernée révoque le consentement et il n'existe pas d'autre base juridique pour le traitement ;

• (c) la Personne concernée s'oppose au traitement au sens de l'art. 21 du RGPD et il n'existe pas de motif légitime impérieux pour qu'Inmedia S.r.l. procède au traitement ;

• (d) les données ont été traitées illicitement ;

• (e) les données doivent être effacées pour respecter une obligation légale.

La Personne concernée peut exercer le droit à la suppression intégrale de son compte directement depuis la Plateforme, via la fonctionnalité self-service décrite à la Section 20 des Conditions Générales d'Utilisation, ou en écrivant à legal@stravagando.com.

Limites spécifiques à l'effacement. Le droit à l'effacement ne s'applique pas dans les cas prévus par l'art. 17, paragraphe 3 du RGPD, en particulier :

• (i) pour le respect d'obligations légales (p. ex. conservation fiscale des données de transaction marketplace au sens de l'art. 2220 du Code civil italien — 10 ans ; conservation pour lutte contre le blanchiment — 5 ans ; audit log DAC7 — 10 ans) ;

• (ii) pour la constatation ou la défense d'un droit en justice ;

• (iii) dans les hypothèses de Legal Hold visées à l'Art. 9-bis ;

• (iv) pour les avis publics qui, bien que dépersonnalisables (par remplacement de l'identifiant de l'auteur de l'avis), peuvent être maintenus en ligne à des fins de transparence informative envers la communauté des Utilisateurs.

L'annulation du compte entraîne la déchéance symbolique des éléments du Système de Gamification (XP, Niveaux, Récompenses, Streaks), en cohérence avec leur nature au sens de la Section 9.1 des Conditions Générales d'Utilisation, sans droit à indemnité. La suppression d'un check-in individuel n'entraîne pas la diminution automatique des XP attribués ni la perte des Récompenses obtenues, en considération de l'irrévocabilité historique des reconnaissances de gamification (par. 9.8). L'annulation entraîne également la suppression des Tags UGC « entrants » (Tags qui ont tagué la Personne concernée dans des Contenus d'autres Utilisateurs) et la suppression des relations de suivi actives.

10.4 Droit à la limitation du traitement (art. 18 du RGPD). La Personne concernée a le droit d'obtenir la limitation du traitement de ses Données Personnelles, dans les cas prévus par l'art. 18 du RGPD. Pendant la période de limitation, les données peuvent être conservées mais non ultérieurement traitées, sauf exceptions de loi spécifiques.

10.5 Droit à la portabilité des données (art. 20 du RGPD). La Personne concernée a le droit de recevoir ses Données Personnelles — limitées à celles fournies directement par la Personne concernée elle-même au Responsable et traitées par des moyens automatisés sur la base du consentement ou de l'exécution d'un contrat — dans un format structuré, couramment utilisé et lisible par machine, et a le droit de les transmettre à un autre Responsable sans entrave. Lorsque techniquement possible, la Personne concernée a le droit d'obtenir la transmission directe des données à un autre Responsable. Inmedia S.r.l. met à disposition une fonctionnalité d'export self-service, au sens de la Section 20 des Conditions Générales d'Utilisation, qui comprend, lorsque pertinent :

• (a) données de Profil et compte ;

• (b) Contenus UGC publiés ;

• (c) historique personnel des check-ins (avec les coordonnées originales fournies par la Personne concernée, sous réserve que les copies dans les logs système restent arrondies au sens du paragraphe 3.16) ;

• (d) historique des réservations et des transactions ;

• (e) données de gamification (XP, Récompenses, Streaks) ;

• (f) paramètres de confidentialité et préférences.

Les photographies éventuellement incluses dans l'export sont sans métadonnées EXIF originales, au sens du paragraphe 3.22. Les Contenus soumis à Legal Hold ne sont pas inclus dans l'export, au sens de l'Art. 9-bis.4.

10.6 Droit d'opposition (art. 21 du RGPD). La Personne concernée a le droit de s'opposer à tout moment, pour des raisons liées à sa situation particulière, au traitement de Données Personnelles la concernant fondé sur l'art. 6, paragraphe 1, lettre e) ou f) du RGPD (intérêt public ou intérêt légitime), à moins qu'Inmedia S.r.l. ne démontre l'existence de motifs légitimes impérieux pour le traitement qui prévalent sur les intérêts, droits et libertés de la Personne concernée, ou pour la constatation, l'exercice ou la défense d'un droit en justice.

La Personne concernée a le droit de s'opposer à tout moment et sans nécessité de motivation au traitement de Données Personnelles à des fins de marketing direct, y compris le profilage lié à ce marketing. Ce droit peut être exercé via :

• (a) le lien d'opt-out présent dans chaque communication de marketing ;

• (b) les paramètres du compte (préférences de notification et marketing) ;

• (c) le Panneau Préférences de la Politique Cookies ;

• (d) la demande envoyée à legal@stravagando.com.

Spécifiquement, la Personne concernée peut de manière autonome :

• (i) désactiver sa visibilité dans les classements publics en modifiant le paramètre show_in_leaderboards ;

• (ii) désactiver le Tag UGC en modifiant le paramètre allow_ugc_tagging, avec effet immédiat sur les tentatives ultérieures ;

• (iii) modifier la visibilité du Profil (profile_visibility) et l'indexation externe (allow_search_indexing) ;

• (iv) paramétrer le niveau de visibilité de chaque check-in individuel à l'exécution (Moi uniquement / Amis / Tous) ;

• (v) révoquer le consentement au traitement des données de géolocalisation précise depuis les paramètres de l'appareil.

10.7 Droit de révoquer le consentement (art. 7, paragraphe 3 du RGPD). Lorsque le traitement est fondé sur le consentement, la Personne concernée a le droit de le révoquer à tout moment, sans préjudice de la licéité du traitement fondé sur le consentement antérieur à sa révocation. La révocation peut être exercée via les mêmes canaux utilisés pour fournir le consentement.

10.B — Droits spécifiques liés aux traitements automatisés

10.8 Droits ex art. 22 du RGPD. La Personne concernée a le droit de ne pas être soumise à une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques la concernant ou l'affecte de manière analogue significative, sous réserve des exceptions prévues par l'art. 22, paragraphe 2 du RGPD (nécessité pour la conclusion/exécution du contrat, autorisation de loi, consentement explicite). Pour les traitements relevant de cette hypothèse — antifraude des paiements, Trust Score, Modération automatique IA — la Personne concernée a le droit d'obtenir l'intervention humaine d'Inmedia S.r.l., d'exprimer son point de vue et de contester la décision, selon les modalités décrites à l'Art. 11.

10.C — Modalités d'exercice

10.9 Canaux de contact. Pour exercer les droits ci-dessus, la Personne concernée peut :

• (a) envoyer une demande écrite à l'adresse e-mail legal@stravagando.com (objet : « Exercice des droits privacy ») ;

• (b) utiliser les fonctionnalités self-service disponibles dans l'espace réservé de la Plateforme (modification du Profil, gestion des préférences de confidentialité et marketing, export des données, annulation du compte) ;

• (c) envoyer une lettre recommandée ou un PEC au Responsable du Traitement aux contacts indiqués à l'Art. 2 ;

• (d) contacter le DPO, lorsque nommé, à l'adresse legal@stravagando.com (objet : « DPO »).

10.10 Identification du demandeur. Pour garantir la sécurité des données et empêcher les accès non autorisés, Inmedia S.r.l. peut demander à la Personne concernée de fournir une preuve de son identité, selon des modalités proportionnées à la demande. Pour les opérations sensibles effectuées depuis l'espace réservé de la Plateforme, est requise la ré-authentification au sens de la Section 4.2 des Conditions Générales d'Utilisation.

10.11 Délais de réponse. Inmedia S.r.l. fournit une réponse à la demande de la Personne concernée sans délai injustifié et, en tout état de cause, dans 1 mois à compter de la réception de la demande. Ce délai peut être prorogé de 2 mois supplémentaires lorsque nécessaire, compte tenu de la complexité et du nombre de demandes ; la Personne concernée est informée de la prorogation dans le délai de 1 mois à compter de la réception de la demande, avec les motifs du retard.

10.12 Gratuité de la réponse. Les demandes sont traitées gratuitement. Inmedia S.r.l. ne peut exiger une contribution raisonnable aux frais que dans les cas prévus par l'art. 12, paragraphe 5 du RGPD (demandes manifestement infondées ou excessives).

10.D — Droit de réclamation

10.13 Réclamation. Sans préjudice de tout autre recours administratif ou juridictionnel, la Personne concernée a le droit d'introduire une réclamation auprès de l'Autorité de contrôle compétente, selon les modalités décrites à l'Art. 15.

ART. 11 — PROCESSUS DÉCISIONNEL AUTOMATISÉ ET PROFILAGE

Inmedia S.r.l. effectue certains traitements qui comportent des décisions automatisées au sens de l'art. 22 du RGPD, susceptibles de produire des effets juridiques ou d'affecter de manière significative la sphère personnelle de la Personne concernée. Les traitements pertinents sont décrits séparément ci-après, avec l'indication de la logique utilisée, de l'importance prévue, des conséquences et des garanties procédurales adoptées. Pour les traitements qui ne produisent pas d'effets significatifs (à titre d'exemple : personnalisation des résultats de recherche, suggestions d'Expériences, calcul du rating agrégé), il est renvoyé à l'Art. 4.12.

11.A — Antifraude des paiements et de la relation marketplace

11.1 Traitement. Inmedia S.r.l., conjointement avec Stripe Payments Europe Ltd en qualité de Responsable autonome pour la partie qui le concerne, élabore un score de risque antifraude pour les transactions sur la marketplace intégrée et pour les relations avec les Hôtes et les Parrains, sur la base de :

• (a) indicateurs de transaction : montant, fréquence, BIN, pays d'émission, alignement avec le profil historique de l'Utilisateur, velocity ;

• (b) indicateurs de device : device fingerprinting, user-agent, adresse IP, indicateurs d'émulateur, congruité géographique ;

• (c) indicateurs comportementaux : historique de navigation, temps de permanence en checkout, présence de chargebacks précédents ;

• (d) listes de sujets à risque et signalements internes et externes.

11.2 Logique et importance. Le système applique des règles de seuil automatique et des modèles statistiques. Sur la base du score, peuvent intervenir automatiquement : (i) transaction autorisée ; (ii) vérification supplémentaire requise (p. ex. 3D Secure, retry de carte, KYC renforcé) ; (iii) transaction refusée ; (iv) suspension de la fourniture du Service ou gel du payout Hôte/Parrain ; (v) ouverture d'une investigation antifraude manuelle.

11.3 Conséquences. Sur la Personne concernée peuvent intervenir des effets significatifs : impossibilité de compléter la réservation, suspension des paiements, blocage du compte, signalement aux Autorités compétentes.

11.4 Garanties procédurales. La Personne concernée a le droit :

• (a) à l'intervention humaine d'un opérateur d'Inmedia S.r.l. qui révise la décision ;

• (b) d'exprimer son point de vue sur la situation et de fournir des éléments à sa défense ;

• (c) de contester la décision, selon les modalités visées à l'Art. 10.

Les demandes de révision peuvent être envoyées à legal@stravagando.com avec référence à l'identifiant de la transaction ou de la procédure.

11.B — Trust Score

11.5 Traitement. Inmedia S.r.l. élabore un score numérique (Trust Score) compris entre 0 et 100, attribué à chaque Utilisateur sur la base de la cohérence technique des check-ins effectués, selon les règles décrites à la Section 11 des Conditions Générales d'Utilisation et détaillées dans les Spécifications Techniques du Service. Les indicateurs incluent : proximité entre coordonnées transmises et POI, congruité du temps écoulé entre check-ins consécutifs géographiquement éloignés, plausibilité de la vitesse de déplacement, éventuels indicateurs de GPS spoofing, signalements reçus, résultat de procédures disciplinaires précédentes.

11.6 Logique et importance. Le Trust Score influe sur :

• (a) attribution des XP pour les check-ins : à des Trust Scores plus bas correspond une réduction des XP attribués au check-in ou, dans les cas extrêmes, son annulation ;

• (b) approbation automatique des avis : pour des Trust Scores élevés, les avis peuvent accéder au fast-track d'approbation (Section 12.4 des Conditions Générales d'Utilisation) et recevoir une visibilité immédiate ; pour des Trust Scores bas, est requise une révision manuelle ;

• (c) accès à des fonctionnalités réservées : certaines fonctionnalités (à titre d'exemple : proposition de nouveaux Lieux au catalogue, participation à des programmes beta) peuvent requérir le dépassement d'un seuil minimal de Trust Score ;

• (d) visibilité de ses propres Contenus : dans les cas de Trust Score très bas, un facteur de déclassement dans l'ordre de publication peut être appliqué.

11.7 Conséquences. Le Trust Score peut produire des effets significatifs sur la jouissance du Service par la Personne concernée, en particulier sur la participation au Système de Gamification et sur l'accès aux fonctionnalités réservées.

11.8 Garanties procédurales. La Personne concernée a le droit de demander à Inmedia S.r.l. des explications sur le Trust Score attribué, de demander une révision manuelle et de le contester, en cohérence avec les droits visés à l'art. 22 du RGPD. Les demandes de révision peuvent être envoyées à legal@stravagando.com. Le Trust Score n'est pas en soi rendu visible à l'Utilisateur ou aux tiers dans sa forme numérique brute, en cohérence avec sa nature d'indicateur technique interne ; sont rendus visibles à l'Utilisateur les résultats synthétiques relatifs à l'attribution d'XP par check-in individuel et les codes motivationnels corrélés, lorsque demandés.

11.C — Modération automatique IA des Contenus UGC

11.9 Traitement. Les Contenus UGC publiés par les Utilisateurs sont soumis, avant publication, à une analyse automatisée au moyen de systèmes d'intelligence artificielle de Tiers, au sens de la Section 12 des Conditions Générales d'Utilisation et de l'Art. 4.4 de la présente Politique.

11.10 Logique et importance. Les systèmes de Modération automatique :

• (a) classifient les textes via un modèle linguistique pour les catégories de risque (à titre d'exemple : hate speech, contenus pornographiques, violation de la propriété intellectuelle, spam, fraude) ;

• (b) analysent les images via un service d'analyse des images pour la détection de contenus pour adultes, violents ou offensifs ;

• (c) appliquent des seuils de confiance pour déterminer si le Contenu est automatiquement approuvé, déclassé, soumis à révision manuelle ou refusé ;

• (d) accèdent à un fast-track pour les Utilisateurs ayant un historique positif et un Trust Score élevé ;

• (e) opèrent avec un fallback de révision manuelle en cas d'indisponibilité des systèmes automatiques ou de dépassement des limites opérationnelles.

L'identité spécifique des modèles utilisés, les seuils de confiance, les critères d'accès au fast-track et les limites opérationnelles sont indiqués dans les Spécifications Techniques du Service.

11.11 Conséquences. La décision de Modération automatique peut entraîner :

• (a) approbation et publication du Contenu ;

• (b) refus de la publication, avec notification à la Personne concernée et code motivationnel (Statement of Reasons au sens de l'art. 17 du DSA) ;

• (c) déclassement du Contenu (visibilité réduite) ;

• (d) soumission à révision manuelle avant publication ;

• (e) dans les cas les plus graves, ouverture d'une procédure disciplinaire à l'égard de la Personne concernée au sens de la Section 13 des Conditions Générales d'Utilisation.

11.12 Garanties procédurales. La Personne concernée a le droit :

• (a) de recevoir le Statement of Reasons de la décision, au sens de l'art. 17 du DSA, contenant au moins le code motivationnel, la catégorie de risque détectée, l'indication du système automatisé utilisé et l'indication du droit de demander une révision humaine ;

• (b) de demander la révision humaine de la décision dans les 14 jours suivant la notification de la décision automatisée, au sens de la Section 12.3 des Conditions Générales d'Utilisation. La révision est effectuée par du personnel qualifié de Stravagando, distinct du système automatisé qui a émis la décision ;

• (c) d'exprimer son point de vue et de fournir des éléments à sa défense dans le cadre de la procédure de révision ;

• (d) de contester la décision confirmée en révision via réclamation interne au Responsable et, par la suite, via réclamation au Garante ou recours juridictionnel, au sens de l'Art. 15 ;

• (e) limitativement aux hypothèses entrant dans le champ d'application du DSA, d'accéder au mécanisme de résolution alternative des litiges prévu par l'art. 21 du DSA, via les organismes de résolution des litiges certifiés par le Coordinateur des Services Numériques compétent ;

• (f) de s'adresser au Trusted Flagger au sens de l'art. 22 du DSA ou à l'AGCOM en qualité de Coordinateur italien des Services Numériques.

11.13 Transparence AI Act. En conformité avec le Règlement (UE) 2024/1689 (AI Act), Inmedia S.r.l. assure une transparence adéquate sur les systèmes d'intelligence artificielle utilisés dans le contexte de la Modération automatique. Les informations synthétiques sur les modèles utilisés, sur les limites de leur performance connues et sur les mécanismes de garantie sont publiées dans les Spécifications Techniques du Service et mises à jour périodiquement. Inmedia S.r.l. effectue des audits périodiques sur l'efficacité et l'impartialité des systèmes et adopte des mesures correctives en cas de biais détectés.

ART. 12 — TRAITEMENT DES DONNÉES DE MINEURS

La Plateforme est conçue pour des Utilisateurs adultes et pour des Utilisateurs mineurs ayant atteint l'âge minimal d'accès prévu par la réglementation applicable à leur résidence, selon le régime décrit ci-après. Inmedia S.r.l. protège activement les mineurs contre la collecte non autorisée de Données Personnelles et contre le profilage à des fins de publicité ciblée, en conformité avec le RGPD, avec le Code italien de la protection des données, avec le DSA et — pour les résidents USA — avec le Children's Online Privacy Protection Act (COPPA).

12.A — Âge minimal d'accès

12.1 Résidents en Italie : 14 ans. Pour les résidents en Italie, l'âge minimal d'accès à la Plateforme est de 14 ans, en application de l'art. 8 du RGPD et de l'art. 2-quinquies du Code italien de la protection des données (Décret législatif italien 196/2003 tel que modifié par le Décret législatif italien 101/2018), qui fixe ce seuil pour l'Italie pour l'offre directe de services de la société de l'information aux mineurs sur la base du consentement du mineur lui-même. Pour les mineurs de moins de 14 ans résidant en Italie, l'accès à la Plateforme est interdit et les Données Personnelles ne sont pas collectées sur la base du consentement du mineur lui-même.

12.2 Résidents dans d'autres États membres de l'UE. Pour les résidents dans d'autres États membres de l'Union Européenne, s'appliquent les seuils minimaux nationaux respectifs pour le consentement aux services de la société de l'information au sens de l'art. 8, paragraphe 1 du RGPD (à titre d'exemple : 16 ans en Allemagne, Luxembourg, Pays-Bas, Pologne, Roumanie, Hongrie ; 15 ans en France, République tchèque, Slovénie ; 14 ans en Autriche, Bulgarie, Chypre, Italie, Lituanie, Espagne) ou, à défaut d'indication spécifique, l'âge de 16 ans.

12.3 Résidents aux États-Unis d'Amérique : 13 ans. Pour les résidents aux États-Unis d'Amérique, l'âge minimal d'accès est de 13 ans, en conformité avec le Children's Online Privacy Protection Act (COPPA) et avec la Federal Trade Commission (FTC) COPPA Rule. Pour les mineurs de moins de 13 ans résidant aux États-Unis, l'accès à la Plateforme est interdit et les Données Personnelles ne sont pas collectées sur la base du consentement du mineur lui-même.

12.4 Résidents dans d'autres Pays. Pour les résidents dans d'autres Pays, s'applique l'âge minimal prévu par la loi nationale applicable ou, à défaut, l'âge de 16 ans.

12.B — Régime pour les Utilisateurs mineurs ayant atteint l'âge minimal

12.5 Déclaration à l'enregistrement. Lors de l'enregistrement, l'Utilisateur confirme posséder l'âge minimal requis par la loi applicable à sa résidence, au sens de la Section 3 des Conditions Générales d'Utilisation. Cette déclaration est faite sous sa propre responsabilité ; les fausses déclarations entraînent la suspension et la clôture du compte au sens de la Section 13 des Conditions Générales d'Utilisation.

12.6 Restrictions applicables aux Utilisateurs mineurs (moins de 18 ans). Pour les Utilisateurs ayant atteint l'âge minimal mais encore mineurs (moins de 18 ans) selon la loi applicable, et pour lesquels il existe des indicateurs de minorité d'âge selon les procédures adoptées par Inmedia S.r.l. :

• (a) exclusion de la publicité ciblée fondée sur le profilage (art. 4.10 de la présente Politique et art. 28 du DSA) ;

• (b) limitation de l'accès à la marketplace en tant que Client, sur la base de la capacité contractuelle réduite du mineur selon la loi applicable ; pour les réservations dépassant la capacité contractuelle du mineur, la confirmation par les personnes exerçant la responsabilité parentale peut être requise, selon les modalités décrites à la Section 3 des Conditions Générales d'Utilisation ;

• (c) limitation de l'accès aux Expériences 18+ lorsque catégorisées par l'Hôte comme réservées aux adultes ;

• (d) paramètres de confidentialité plus restrictifs par défaut (à titre d'exemple : Profil non public par défaut, visibilité réduite dans les recherches, indexation externe désactivée).

12.7 Adhésion au Programme de Parrainage, qualification d'Hôte. L'adhésion au Programme de Parrainage est réservée aux Utilisateurs ayant atteint la majorité selon la loi applicable (en Italie, 18 ans), au sens des Conditions du Programme de Parrainage. La qualification d'Hôte est normalement réservée aux personnes majeures, sauf hypothèses spécifiques régies par les Conditions Hôte. Ces limitations dérivent de la nature économico-commerciale de ces qualifications et des profils de responsabilité contractuelle corrélés.

12.C — Vérification de l'âge

12.8 Mesures adoptées. Inmedia S.r.l. adopte des mesures raisonnables et proportionnées pour vérifier l'âge des Utilisateurs, en cohérence avec l'art. 28 du DSA, sur la base de :

• (a) déclaration de l'Utilisateur à l'enregistrement ;

• (b) date de naissance, lorsque requise ;

• (c) indicateurs comportementaux et de contenu ;

• (d) demande de vérification documentaire, dans les cas limites ou à risque élevé.

Les mesures spécifiques sont indiquées dans les Spécifications Techniques du Service et sont périodiquement mises à jour à la lumière des best practices du secteur et des indications des Autorités compétentes.

12.9 Signalements de mineurs n'ayant pas l'âge minimal. Lorsqu'Inmedia S.r.l. a connaissance, également via des signalements de tiers, de la présence d'un Utilisateur mineur en-dessous de l'âge minimal requis pour sa résidence :

• (a) procède à la suspension immédiate du compte de manière à empêcher de nouvelles interactions ;

• (b) supprime les Données Personnelles collectées sans base juridique valide, sauf si la conservation est nécessaire au respect d'obligations légales, à l'exercice d'un droit en justice ou à une autre finalité admise par l'art. 17, paragraphe 3 du RGPD ;

• (c) informe, lorsque possible et lorsque approprié, les personnes exerçant la responsabilité parentale de l'existence du compte et des actions adoptées.

12.D — Consentement parental (COPPA)

12.10 Procédure COPPA pour les résidents USA. Pour les résidents aux États-Unis d'Amérique, en conformité avec le Children's Online Privacy Protection Act, dans le cas où Inmedia S.r.l. recueille en connaissance de cause des Données Personnelles d'un enfant de moins de 13 ans — hypothèse qui, pour la Plateforme, est interdite par le seuil d'accès —, sont adoptées des mesures pour :

• (a) notification aux personnes exerçant la responsabilité parentale, au sens du 16 CFR § 312.4 ;

• (b) collecte du consentement parental vérifiable, au sens du 16 CFR § 312.5 ;

• (c) garantie du droit des parents d'accéder, modifier et demander la suppression des Données Personnelles de l'enfant, au sens du 16 CFR § 312.6 ;

• (d) interdiction du profilage à des fins de publicité ciblée des enfants, au sens du 16 CFR § 312.5(c).

Les demandes d'exercice de ces droits peuvent être envoyées à legal@stravagando.com.

ART. 13 — ADDENDUM POUR LES RÉSIDENTS USA (CCPA, CPRA ET AUTRES RÉGLEMENTATIONS ÉTATIQUES)

Le présent Addendum décrit des intégrations et modifications à la présente Politique de Confidentialité applicables aux résidents aux États-Unis d'Amérique. En cas de conflit entre les dispositions générales de la présente Politique et celles du présent Addendum, pour les résidents USA prévalent les dispositions du présent Addendum.

13.A — Définitions pertinentes

13.1 Définitions. Aux fins du présent Addendum, et au sens du California Consumer Privacy Act (CCPA) tel que modifié par le California Privacy Rights Act (CPRA), et des réglementations étatiques analogues :

• (a) « Consommateur » (Consumer) : résident aux États-Unis d'Amérique qui utilise la Plateforme ;

• (b) « Personal Information » : informations qui identifient, décrivent, concernent, sont liées ou peuvent raisonnablement être liées à un Consommateur ou à un foyer ;

• (c) « Sensitive Personal Information » : la sous-catégorie de Personal Information visée au Cal. Civ. Code § 1798.140(ae) ;

• (d) « Sale » : la vente, communication ou transfert de Personal Information à des tiers à titre onéreux ou contre toute autre contrepartie de valeur, selon la définition du Cal. Civ. Code § 1798.140(ad) ;

• (e) « Sharing » : le partage de Personal Information avec des tiers à des fins de cross-context behavioral advertising, selon la définition du Cal. Civ. Code § 1798.140(ah) ;

• (f) « Business » : Inmedia S.r.l. en tant que sujet qui détermine les finalités et les moyens du traitement ;

• (g) « Service Provider » / « Contractor » : sujets qui traitent des Personal Information pour le compte du Business, selon la définition du Cal. Civ. Code § 1798.140(ag) et (j).

13.B — Catégories de Personal Information collectées

13.2 Catégories au sens du Cal. Civ. Code § 1798.140(v). Au cours des douze derniers mois, Inmedia S.r.l. a collecté ou peut collecter les catégories de Personal Information suivantes de Consommateurs :

• (a) identifiants : nom, adresse postale, identifiant unique en ligne, adresse IP, adresse e-mail, nom de compte, code fiscal/TIN, numéro de passeport/document ;

• (b) catégories d'informations du Cal. Civ. Code § 1798.80(e) (commercial information) : nom, contacts, données de paiement (limitées à ce qui est communiqué par les responsables) ;

• (c) commercial information : historique des réservations, produits achetés ou considérés ;

• (d) biometric information : données biométriques générées exclusivement par Stripe Identity pour les Consommateurs qui s'enregistrent en tant qu'Hôte ou Parrain et pour des Expériences à haut risque (l'élément biométrique n'est pas conservé par Inmedia S.r.l.) ;

• (e) Internet or other electronic network usage information : navigation, historique de recherche, interactions avec la publicité ;

• (f) geolocation data, y compris géolocalisation précise collectée après consentement du Consommateur (paragraphe 3.14) et données de check-in (paragraphe 3.15-3.17) ;

• (g) audio, electronic, visual, thermal, olfactory or similar data : photographies et Contenus UGC publiés par le Consommateur, enregistrements d'appels si autorisés ;

• (h) professional or occupational information : informations sur l'activité des Hôtes ;

• (i) inferences : profils créés à des fins de personnalisation (recommandations, suggestions) et Trust Score.

13.3 Sensitive Personal Information. Peuvent être collectées les catégories suivantes de Sensitive Personal Information au sens du Cal. Civ. Code § 1798.140(ae) :

• (a) government-issued identification numbers (code fiscal/TIN/SSN, numéro de passeport) ;

• (b) identifiants d'accès à la Plateforme ;

• (c) géolocalisation précise ;

• (d) informations financières (coordonnées bancaires pour les paiements) ;

• (e) données biométriques (gérées via Stripe Identity).

Les Consommateurs ont le droit de limiter l'utilisation et la divulgation des Sensitive Personal Information au sens du Cal. Civ. Code § 1798.121.

13.C — Finalités de la collecte

13.4 Finalités. Les Personal Information listées ci-dessus sont collectées aux finalités décrites à l'Art. 4 de la présente Politique.

13.D — Catégories de tiers

13.5 Communication. Inmedia S.r.l. peut communiquer les catégories de Personal Information listées ci-dessus aux catégories de tiers décrites à l'Art. 7 de la présente Politique.

13.E — Aucune Sale de Personal Information

13.6 No Sale. Inmedia S.r.l. ne vend pas (no sale) les Personal Information des Consommateurs à titre onéreux ou contre toute autre contrepartie de valeur. Inmedia S.r.l. peut partager (share) les Personal Information avec des partenaires publicitaires à des fins de cross-context behavioral advertising, exclusivement sur la base du consentement du Consommateur donné via le Panneau Préférences de la Politique Cookies. Ce partage est limité aux modalités décrites dans la Politique Cookies et est soumis au droit d'opt-out.

13.F — Droits des Consommateurs

13.7 Droits CCPA/CPRA. Les Consommateurs résidant en Californie ont les droits suivants :

• (a) right to know — Cal. Civ. Code § 1798.110, 1798.115 ;

• (b) right to delete — Cal. Civ. Code § 1798.105 ;

• (c) right to correct — Cal. Civ. Code § 1798.106 ;

• (d) right to opt-out of Sale or Sharing — Cal. Civ. Code § 1798.120 ;

• (e) right to limit use of Sensitive Personal Information — Cal. Civ. Code § 1798.121 ;

• (f) right to non-discrimination pour l'exercice des droits — Cal. Civ. Code § 1798.125 ;

• (g) right to portability — Cal. Civ. Code § 1798.130(a)(2) ;

• (h) right to know about any automated decision-making et de demander l'opt-out, lorsque applicable sur la base des réglementations adoptées par la California Privacy Protection Agency (CPPA).

13.8 Droits des Consommateurs dans d'autres États USA. Les Consommateurs résidant en Virginie (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA) et autres États ayant adopté des réglementations analogues bénéficient de droits substantiellement équivalents, selon les réglementations étatiques respectives applicables.

13.G — Modalités d'exercice des droits

13.9 Canaux. Les Consommateurs peuvent exercer leurs droits via :

• (a) la page dédiée aux demandes privacy, accessible depuis la Plateforme ;

• (b) l'envoi d'un e-mail à legal@stravagando.com ;

• (c) le numéro toll-free dédié, lorsque institué ;

• (d) le mécanisme Global Privacy Control (GPC) pour les droits d'opt-out de Sale ou Sharing, automatiquement reconnu par la Plateforme comme un signal du navigateur du Consommateur.

13.10 Vérification de l'identité. Inmedia S.r.l. adopte des procédures raisonnables pour vérifier l'identité du Consommateur demandeur, en proportion de la nature de la demande et de la sensibilité des données.

13.11 Authorized agent. Le Consommateur peut désigner un authorized agent pour exercer ses droits en son nom, au sens du Cal. Civ. Code § 1798.135(c) et des réglementations applicables.

13.12 Délais de réponse. Inmedia S.r.l. répond aux demandes de right to know, delete et correct dans les 45 jours suivant la réception, prorogeables pour 45 jours supplémentaires lorsque raisonnablement nécessaire.

13.H — Réclamations

13.13 Organes de contrôle. Les Consommateurs résidant aux USA ont le droit de présenter une réclamation auprès de :

• (a) California Privacy Protection Agency (CPPA) pour les Consommateurs californiens : https://cppa.ca.gov ;

• (b) Attorney General de l'État de résidence pour les autres États ;

• (c) Federal Trade Commission (FTC) : https://www.ftc.gov.

ART. 14 — MODIFICATIONS À LA PRÉSENTE POLITIQUE

14.A — Mises à jour

14.1 Faculté de modification. Inmedia S.r.l. se réserve la faculté d'apporter des modifications à la présente Politique de Confidentialité, tant pour s'adapter aux évolutions normatives, jurisprudentielles ou réglementaires, que pour introduire de nouvelles fonctionnalités de la Plateforme ou de nouveaux traitements, ainsi que pour des nécessités internes d'organisation et de sécurité.

14.2 Version et date d'entrée en vigueur. Chaque version de la Politique est identifiée de manière univoque par un numéro de version et une date d'entrée en vigueur, indiqués en ouverture du document. La version actuellement en vigueur est toujours celle publiée sur la Plateforme à l'URL dédiée.

14.3 Historique des versions. Inmedia S.r.l. maintient à disposition des Personnes concernées, dans une section dédiée du site, l'historique des versions précédentes de la Politique de Confidentialité avec indication des principales modifications apportées, dans le respect du principe de transparence ex art. 12 du RGPD.

14.B — Communication des modifications

14.4 Modifications substantielles. Pour les modifications substantielles — étant celles qui affectent de manière significative les droits des Personnes concernées ou les modalités essentielles du traitement — Inmedia S.r.l. notifie les modifications aux Utilisateurs avec préavis non inférieur à 30 jours par rapport à la date d'entrée en vigueur, en cohérence avec la Section 19 des Conditions Générales d'Utilisation, via :

• (a) e-mail à l'adresse d'enregistrement, lorsque l'Utilisateur a un compte actif ;

• (b) avis in-app et/ou bannière sur la Plateforme ;

• (c) publication de la nouvelle version sur la Plateforme avec évidence des modifications.

Pendant la période de préavis, la Personne concernée qui n'entend pas accepter les modifications peut exercer le droit de retrait du contrat, via clôture self-service du compte (Section 20 des Conditions Générales d'Utilisation), sans frais.

14.5 Modifications non substantielles. Pour les modifications non substantielles (corrections de typo, clarifications formelles, mises à jour des Sous-traitants ou autres éléments de simple détail opérationnel), Inmedia S.r.l. peut procéder à leur publication avec effet immédiat, en donnant évidence dans le registre des modifications.

14.6 Modifications pour motifs impératifs. Pour les modifications qui se révèlent immédiatement nécessaires en application d'obligations légales survenant, de décisions d'Autorités compétentes ou pour des nécessités de sécurité, Inmedia S.r.l. peut procéder à l'introduction des modifications avec effet immédiat, en fournissant aux Personnes concernées une communication subséquente dès que possible.

14.C — Traitements fondés sur le consentement

14.7 Nouvelles finalités sur la base du consentement. Lorsque les modifications de la Politique introduisent de nouvelles finalités de traitement fondées sur le consentement au sens de l'art. 6, paragraphe 1, lettre a) du RGPD ou de l'art. 9, paragraphe 2, lettre a) du RGPD, ces traitements ne seront pas initiés pour les Personnes concernées existantes sauf après collecte spécifique du consentement, selon des modalités conformes à l'art. 7 du RGPD.

ART. 15 — CONTACTS ET RÉCLAMATIONS

15.A — Contacts

15.1 Responsable du Traitement. Pour toute demande ou communication relative à la protection des données personnelles, les Personnes concernées peuvent contacter Inmedia S.r.l. aux coordonnées suivantes :

Inmedia S.r.l. Siège social : Via L'Aquila, 22, 65122 Pescara (PE), Italie Code Fiscal / N° de TVA : 02017520681 E-mail général d'assistance : support@stravagando.com E-mail pour les demandes en matière de protection des données personnelles : legal@stravagando.com PEC (e-mail certifié) : inmediasrl@pec.it

15.2 DPO. Le DPO, lorsque nommé, peut être contacté à l'adresse :

legal@stravagando.com (objet : « DPO »)

Reste ferme la faculté d'Inmedia S.r.l. d'instituer une adresse dédiée (à titre d'exemple : dpo@stravagando.com), qui sera communiquée via mise à jour de la présente Politique au sens de l'Art. 14.

15.3 Points de contact DSA. En application des arts. 11 et 12 du Règlement (UE) 2022/2065 (Digital Services Act), Inmedia S.r.l. désigne les points de contact suivants, décrits à la Section 12-bis des Conditions Générales d'Utilisation :

• (a) point de contact pour les Autorités des États membres, Commission UE et Comité européen pour les Services Numériques au sens de l'art. 11 du DSA : legal@stravagando.com (objet : « DSA — Autorités ») ;

• (b) point de contact pour les destinataires du service au sens de l'art. 12 du DSA : legal@stravagando.com (objet : « DSA — Destinataires ») ;

• (c) les langues de communication du Responsable du Traitement aux fins susdites sont l'italien et l'anglais.

15.4 Notice & Action. Pour les signalements de contenus potentiellement illégaux ou portant atteinte aux droits de tiers, au sens de l'art. 16 du DSA, est disponible un mécanisme dédié de notice and action sur la Plateforme ; alternativement, les signalements peuvent être envoyés à legal@stravagando.com avec objet « DSA — Notice ». L'identité du signaleur n'est pas exposée à l'Utilisateur signalé, sauf demande de l'Autorité compétente.

15.B — Droit de réclamation

15.5 Réclamation au Garante italien. Sans préjudice de tout autre recours administratif ou juridictionnel, la Personne concernée a le droit d'introduire une réclamation auprès de l'Autorité italienne de protection des données personnelles, au sens de l'art. 77 du RGPD et de l'art. 141 du Code italien de la protection des données, selon les modalités indiquées sur le site institutionnel de l'Autorité :

Garante per la protezione dei dati personali (Autorité italienne de protection des données) Piazza Venezia n. 11 — 00187 Rome (Italie) E-mail : protocollo@gpdp.it PEC : protocollo@pec.gpdp.it Téléphone : +39 06.69677.1 Fax : +39 06.69677.3785 Formulaire de réclamation : https://www.garanteprivacy.it/home/modulistica-e-servizi-online

15.6 Autres États membres UE. Pour les Personnes concernées résidant dans d'autres États membres de l'UE, reste ferme la possibilité d'introduire une réclamation auprès de l'Autorité de contrôle de l'État membre de résidence, de travail ou du lieu de la prétendue violation, au sens de l'art. 77 du RGPD. La liste des Autorités de contrôle UE est disponible sur le site du Comité européen de la protection des données : https://www.edpb.europa.eu

15.7 Résidents USA. Pour les résidents USA, les organes de contrôle compétents sont indiqués à l'Art. 13.13.

15.8 AGCOM en tant que Coordinateur des Services Numériques. Pour les signalements relevant du champ d'application du Règlement (UE) 2022/2065 (DSA), les Personnes concernées résidant en Italie peuvent également s'adresser à l'Autorité italienne pour les Garanties dans les Communications (AGCOM), désignée Coordinateur italien des Services Numériques, selon les modalités indiquées sur le site institutionnel : https://www.agcom.it.

15.C — Recours juridictionnel

15.9 Recours devant le Juge. La Personne concernée a également le droit de présenter un recours juridictionnel contre le Responsable du Traitement au sens de l'art. 79 du RGPD et de l'art. 152 du Code italien de la protection des données, devant l'autorité juridictionnelle de son État membre de résidence habituelle ou de l'État membre dans lequel Inmedia S.r.l. a son établissement principal.

Document approuvé et adopté par Inmedia S.r.l.

Version : 1.0 Date d'entrée en vigueur : 26/04/2026
Principales références normatives :

• Règlement (UE) 2016/679 (RGPD)

• Décret législatif italien 196/2003 (Code italien de la protection des données) tel que modifié par le Décret législatif italien 101/2018

• Décision du Garante italien du 10 juin 2021 — Lignes directrices sur les cookies et autres outils de traçage

• Directive 2002/58/CE (ePrivacy)

• Règlement (UE) 2022/2065 (Digital Services Act)

• Règlement (UE) 2024/1689 (AI Act)

• Règlement (UE) 2019/1150 (Platform-to-Business)

• Directive (UE) 2022/2555 (NIS2)

• Décret législatif italien 32/2023 (DAC7)

• Décret législatif italien 231/2007 (Lutte contre le blanchiment)

• California Consumer Privacy Act (CCPA) tel que modifié par CPRA

• Virginia CDPA / Colorado CPA / Connecticut CTDPA / Utah UCPA

• Children's Online Privacy Protection Act (COPPA)