Privacy policy clienti e viaggiatori

Ultimo aggiornamento: 24 luglio 2026

1. Titolare del trattamento

Il titolare del trattamento e ACL TRAVEL S.R.L. SOCIETA' BENEFIT, con sede legale in Piazza Durante 24, 20131 Milano (MI), codice fiscale e partita IVA 14264160962, PEC [email protected], sito https://heylocals.com/it.

Contatti privacy:

• email: [email protected];
• email generale: [email protected];
• PEC: [email protected].

2. A chi si applica questa informativa

Questa informativa riguarda:

• visitatori del sito heylocals.com/it;
• persone che chiedono informazioni, preventivi o assistenza;
• clienti che prenotano o acquistano viaggi, pacchetti turistici o servizi turistici;
• viaggiatori indicati da un cliente o partecipanti a un viaggio;
• persone che partecipano a community, eventi, call, questionari o attivita preparatorie;
• candidati, accompagnatori, referenti, contatti di emergenza e soggetti coinvolti nell'esecuzione del viaggio.

3. Dati trattati

ACL puo trattare le seguenti categorie di dati.

Dati identificativi e di contatto:

• nome, cognome, data e luogo di nascita;
• indirizzo, email, telefono;
• codice fiscale, se necessario per adempimenti fiscali o contrattuali;
• sesso anagrafico M/F, utilizzato esclusivamente in modo transitorio per verificare la coerenza del codice fiscale e non conservato nei sistemi di prenotazione;
• dati di account o area personale.

Dati relativi al viaggio:

• destinazione, date, itinerario, preferenze e servizi richiesti;
• informazioni su prenotazioni, pagamenti, fatture e rimborsi;
• partecipanti, gruppo di viaggio, richieste speciali;
• comunicazioni con ACL e con i referenti del viaggio.

Documenti di viaggio:

• dati di passaporto, carta di identita, visto o altri documenti necessari;
• copie dei documenti solo quando indispensabili per prenotazioni, controlli, assicurazioni, partner locali o obblighi di legge.

Dati particolari:

• allergie, intolleranze, esigenze alimentari;
• condizioni mediche, terapie, disabilita, limitazioni motorie o esigenze di assistenza;
• dati sanitari necessari per sicurezza, organizzazione del viaggio, assicurazioni, emergenze o richieste specifiche.

ACL raccoglie dati particolari solo quando necessario e con adeguata base giuridica, ad esempio consenso esplicito, esecuzione del contratto per richieste dell'interessato, obblighi di legge, tutela di interessi vitali o gestione di emergenze.

Dati di pagamento:

• informazioni sul pagamento, stato della transazione, importi, metodo di pagamento;
• quando il pagamento avviene con carta di credito o debito, la transazione e processata da Stripe; ACL non conserva i dati completi della carta;
• quando il pagamento avviene con bonifico, ACL tratta i dati necessari alla riconciliazione contabile e amministrativa.

Dati tecnici e di navigazione:

• indirizzo IP, log tecnici, dispositivo, browser;
• pagine visitate, eventi di navigazione, preferenze cookie;
• dati raccolti tramite strumenti analytics, marketing e monitoraggio errori secondo la cookie policy.

Contenuti e immagini:

• foto, video, voce, recensioni, testimonianze;
• messaggi, commenti, contenuti caricati o inviati.

Contatti di emergenza:

• nome, cognome, telefono, relazione con il viaggiatore;
• eventuali informazioni necessarie in caso di emergenza.

4. Finalita e basi giuridiche

Gestire richieste e preventivi:

• rispondere a domande, fornire informazioni, proporre viaggi;
• base giuridica: misure precontrattuali e legittimo interesse.

Concludere ed eseguire il contratto:

• prenotare e organizzare pacchetti turistici, soggiorni, attivita, trasporti, partner locali e servizi inclusi;
• comunicare con il viaggiatore prima, durante e dopo il viaggio;
• gestire pagamenti, conferme, modifiche, cancellazioni e assistenza;
• base giuridica: esecuzione del contratto o misure precontrattuali.

Gestire esigenze sanitarie o speciali:

• organizzare pasti, adattamenti, assistenza, sicurezza e risposta a emergenze;
• base giuridica: consenso esplicito quando necessario, esecuzione del contratto su richiesta dell'interessato, tutela di interessi vitali o obblighi di legge.

Adempimenti legali, fiscali e assicurativi:

• fatturazione, contabilita, obblighi turistici, obblighi verso autorita, assicurazioni, garanzia insolvenza;
• base giuridica: obbligo legale.

Sicurezza, prevenzione frodi e tutela dei diritti:

• proteggere sito, sistemi, persone e patrimonio;
• gestire contestazioni, reclami, incidenti, recupero crediti e difesa in giudizio;
• base giuridica: legittimo interesse e, quando applicabile, obbligo legale.

Qualita del servizio:

• analizzare feedback, migliorare viaggi e assistenza, gestire survey post-viaggio;
• base giuridica: legittimo interesse o consenso, secondo il caso.

Marketing e newsletter:

• inviare comunicazioni promozionali, novita, offerte e contenuti editoriali;
• base giuridica: consenso, salvo soft spam nei limiti consentiti dalla legge per clienti gia acquisiti e prodotti/servizi analoghi.

Profilazione o personalizzazione marketing:

• creare segmenti o preferenze per inviare contenuti piu pertinenti;
• base giuridica: consenso, se l'attivita supera la personalizzazione strettamente tecnica o contrattuale.

Foto, video e testimonianze:

• pubblicare o usare immagini, voce, video, recensioni o testimonianze per comunicazione, sito, social, campagne e materiali promozionali;
• base giuridica: consenso separato, libero e revocabile.

Community e gruppi di viaggio:

• creare canali di comunicazione, ad esempio WhatsApp, email group o community, per informazioni operative e relazione tra partecipanti;
• base giuridica: esecuzione del contratto, legittimo interesse o consenso secondo le modalita del canale.

5. Conferimento dei dati

Il conferimento dei dati necessari a preventivo, prenotazione, esecuzione del viaggio, pagamenti e obblighi di legge e necessario. In mancanza, ACL potrebbe non poter confermare la prenotazione o erogare il servizio.

Il conferimento per marketing, profilazione, pubblicazione di immagini e contenuti promozionali e facoltativo. Il mancato consenso non impedisce l'acquisto o la partecipazione al viaggio.

6. Come raccogliamo i dati

ACL puo raccogliere dati:

• direttamente dall'interessato tramite sito, form, email, telefono, call, messaggi o area personale;
• dal cliente che prenota per altri viaggiatori;
• da accompagnatori, partner locali o fornitori durante l'esecuzione del viaggio;
• da provider di pagamento, assicurazioni o strumenti digitali;
• da fonti pubbliche o istituzionali quando necessario per verifiche operative o legali.

Chi comunica dati di terzi, ad esempio altri partecipanti o contatti di emergenza, deve essere autorizzato a farlo e deve informare tali persone del trattamento.

7. Destinatari dei dati

I dati possono essere comunicati a:

• strutture ricettive, partner locali, organizzazioni ospitanti, guide, accompagnatori, trasportatori e fornitori di servizi turistici;
• compagnie assicurative, soggetti che gestiscono garanzie e assistenza;
• provider di pagamento, banche e sistemi antifrode;
• consulenti legali, fiscali, contabili e assicurativi;
• provider IT, hosting, CRM, email, customer care, analytics, advertising, monitoraggio errori e strumenti di produttivita;
• autorita pubbliche, consolati, forze dell'ordine o soggetti legittimati quando richiesto dalla legge o necessario per sicurezza ed emergenze;
• altri partecipanti al viaggio, nei limiti necessari all'organizzazione del gruppo.

Quando richiesto dal GDPR, i fornitori sono nominati responsabili del trattamento o agiscono come autonomi titolari secondo il loro ruolo.

8. Trasferimenti fuori dallo Spazio Economico Europeo

Molti viaggi HeyLocals possono svolgersi fuori dallo Spazio Economico Europeo. Per organizzare il viaggio, ACL puo dover comunicare dati personali a partner, strutture, trasportatori, assicurazioni, autorita o fornitori situati nel Paese di destinazione.

Quando il trasferimento e necessario per concludere o eseguire il contratto con il viaggiatore, o per concludere/eseguire un contratto nell'interesse del viaggiatore, ACL puo basarsi sulle deroghe dell'articolo 49, paragrafo 1, lettere b) e c), GDPR.

Per fornitori tecnologici extra SEE, ACL utilizza quando necessario decisioni di adeguatezza, clausole contrattuali standard, Data Privacy Framework o altre garanzie previste dal GDPR.

Alcuni Paesi di destinazione potrebbero non offrire un livello di protezione dei dati equivalente a quello europeo. ACL limita i dati trasferiti a quanto necessario per l'organizzazione e la sicurezza del viaggio.

9. Conservazione

I dati sono conservati per il tempo necessario alle finalita per cui sono raccolti e poi cancellati o anonimizzati.

I principali periodi di conservazione applicati sono:

• dati contrattuali, amministrativi e fiscali: 10 anni o diverso termine previsto dalla legge;
• dati relativi a reclami, sinistri o contenziosi: per il tempo necessario alla gestione e alla prescrizione dei diritti;
• copie di documenti di viaggio: fino a 72 ore dopo il rientro, salvo obbligo di legge, necessita assicurativa, reclamo o emergenza;
• dati sanitari e richieste speciali: fino alla conclusione del viaggio e gestione di eventuali emergenze o reclami, poi cancellazione o minimizzazione;
• marketing newsletter: fino a revoca del consenso o massimo 24 mesi dall'ultima interazione utile, salvo rinnovo;
• profilazione marketing: massimo 12 mesi, salvo rinnovo del consenso;
• immagini e liberatorie: fino a revoca del consenso per usi futuri, fermo il legittimo mantenimento di materiali gia prodotti nei limiti della liberatoria;
• dati tecnici e cookie: secondo la cookie policy e le impostazioni dello strumento di consenso.

10. Minori

I servizi HeyLocals sono rivolti principalmente a persone maggiorenni. La partecipazione di minori e ammessa solo se prevista dalla scheda viaggio e con autorizzazione dei genitori o di chi esercita la responsabilita genitoriale.

ACL adotta cautele rafforzate quando il viaggio coinvolge minori, scuole, comunita o persone vulnerabili.

11. Decisioni automatizzate

ACL non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sull'interessato, salvo diversa informazione specifica.

Eventuali strumenti di raccomandazione o matching devono essere descritti in modo separato se usati per determinare ammissione, prezzo, disponibilita o altre condizioni rilevanti.

12. Diritti dell'interessato

Nei casi previsti dal GDPR, l'interessato puo chiedere:

• accesso ai dati;
• rettifica;
• cancellazione;
• limitazione del trattamento;
• portabilita;
• opposizione;
• revoca del consenso;
• conferma dell'esistenza o meno di trattamenti che lo riguardano.

La revoca del consenso non pregiudica la liceita del trattamento basato sul consenso prima della revoca.

Le richieste possono essere inviate a [email protected] o via PEC a [email protected].

L'interessato puo proporre reclamo al Garante per la protezione dei dati personali: https://www.garanteprivacy.it.

13. Cookie e tecnologie simili

Il sito usa cookie e tecnologie simili per funzionamento tecnico, sicurezza, analytics, marketing e miglioramento del servizio. I dettagli sono nella cookie policy.

Gli strumenti non tecnici sono attivati secondo le preferenze espresse tramite banner o pannello di gestione del consenso, ove richiesto.

14. Aggiornamenti

ACL puo aggiornare questa informativa. La versione aggiornata e pubblicata sul sito con indicazione della data di ultimo aggiornamento.