WishinWell Privacy Policy

La presente informativa è resa da Wishinwell agli utenti della piattaforma digitale denominata «Wishinwell» (di seguito anche «Piattaforma»), destinata a facilitare donazioni trasparenti in ambito charity — economiche, in termini di tempo/volontariato, di prodotti, corporate, lasciti solidali simulati con intelligenza artificiale, e-commerce solidale — ai sensi dell'art. 13 del Regolamento UE 2016/679 (di seguito: GDPR), del D.Lgs. 196/2003 novellato dal D.Lgs. 101/2018 e, per i profili di intelligenza artificiale, del Regolamento UE 2024/1689 (AI Act).

Wishinwell raccoglie e tratta esclusivamente i dati personali strettamente necessari al perseguimento delle proprie finalità istituzionali e operative, nel pieno rispetto dei principi di minimizzazione, limitazione della conservazione e trasparenza sanciti dal GDPR. La trasparenza costituisce un valore fondante della Piattaforma, rafforzata dall'utilizzo della tecnologia blockchain per la tracciabilità e la rendicontazione video delle donazioni.

Configurazione dei ruoli privacy. La Piattaforma è gestita da Wishinwell quale Titolare del trattamento. Per le attività di sviluppo, manutenzione tecnica, hosting e gestione dei flussi informativi, Wishinwell ha nominato i propri fornitori tecnici quali Responsabili del trattamento ai sensi dell'art. 28 GDPR.

La presente informativa descrive i trattamenti effettuati da Wishinwell, anche per il tramite dei propri Responsabili del trattamento, per il funzionamento della Piattaforma e dei servizi connessi, disponibili su app Mobile, TV e Desktop.

Il Titolare del trattamento è Wishinwell, con sede legale in ……………………… (….), Italia, alla via ………………. n. …., P.IVA ………………., indirizzo e-mail: info@wishinwell.it.

Il Responsabile della Protezione dei Dati (RPD/DPO) nominato ai sensi dell'art. 37 GDPR è raggiungibile all'indirizzo e-mail: dpo@wishinwell.it.

Wishinwell tratta le seguenti categorie di dati personali, raccolte direttamente presso l'interessato o generate nel corso dell'utilizzo della Piattaforma:

a) Dati di registrazione e identificazione

Finalità: creazione e gestione del profilo utente, autenticazione, gestione della sessione e accesso ai servizi della Piattaforma.

Dati trattati: user ID, nickname, indirizzo e-mail; indicazione dell'età (o data di nascita) per la corretta gestione dei consensi differenziati.

b) Dati relativi alle donazioni, al wallet e al 5x1000 digitale

Finalità: erogazione del servizio di donazione nelle diverse forme previste dalla Piattaforma (economica, volontariato, prodotti, corporate, lasciti solidali simulati, e-commerce solidale con cashback donabile), gestione del wallet personale, accredito digitale del 5x1000 tramite ODV, tracciabilità blockchain delle transazioni.

Dati trattati: dati relativi alle transazioni economiche e di wallet; identificativi blockchain (pseudonimizzati o anonimizzati); dati necessari per le procedure KYC minimali richieste dalla normativa charity; dati di geolocalizzazione e timing per il motore di ricerca attività di volontariato e per il coordinamento ritiro/consegna prodotti (tracciato e con video di conferma).

c) Contenuti generati dall'utente

Dati trattati: commenti, feedback, messaggi, condivisioni, contenuti inseriti dall'utente in relazione alle iniziative delle Organizzazioni del Terzo Settore (ETS/ODV/APS/fondazioni) presenti sulla Piattaforma.

d) Dati tecnici

Dati trattati: indirizzo IP (anonimizzato), browser, sistema operativo, tipo di dispositivo, log di accesso, dati diagnostici di sessione.

e) Dati generati da intelligenza artificiale

Dati trattati: output delle funzionalità di IA integrate nella Piattaforma (es. simulazioni di lasciti solidali — «coscienza digitale» —, personalizzazioni di contenuti). Tali contenuti sono sempre identificati con la label «Contenuto generato da IA» e sono soggetti a supervisione umana. Non sono utilizzati per processi decisionali automatizzati con effetti giuridici o analoghi effetti significativi sull'interessato (cfr. art. 22 GDPR e AI Act, Reg. UE 2024/1689).

Dati esclusi: Wishinwell non tratta dati di categorie particolari ai sensi dell'art. 9 GDPR, fatta eccezione per i dati strettamente necessari alle procedure KYC minimali charity ove imposti dalla normativa vigente. La geolocalizzazione precisa è raccolta esclusivamente per le finalità di volontariato e ritiro/consegna prodotti, previo consenso esplicito dell'utente.

I dati personali raccolti sono trattati da Wishinwell per le seguenti finalità, ciascuna fondata su una specifica base giuridica ai sensi dell'art. 6 GDPR:

1. Erogazione dei servizi, gestione delle donazioni, del wallet e del monitoraggio blockchain

Finalità: creazione e gestione del profilo utente; erogazione delle donazioni nelle diverse forme (economica, volontariato, prodotti, corporate, lasciti solidali simulati, e-commerce solidale); gestione del wallet personale e dell'accredito digitale del 5x1000; tracciabilità blockchain e rendicontazione video delle donazioni; funzionamento del motore di ricerca geolocal per il volontariato; coordinamento ritiro/consegna prodotti.

Base giuridica: necessità di esecuzione di misure precontrattuali o contrattuali adottate su richiesta dell'interessato, ai sensi dell'art. 6, par. 1, lett. b), GDPR.

2. Sicurezza, prevenzione di abusi e integrità della blockchain

Finalità: monitoraggio degli accessi, prevenzione di attacchi informatici, gestione dei log di sicurezza, integrità delle transazioni blockchain e prevenzione di usi fraudolenti della Piattaforma.

Base giuridica: legittimo interesse bilanciato del Titolare ai sensi dell'art. 6, par. 1, lett. f), GDPR, consistente nella protezione della Piattaforma, degli utenti e delle Organizzazioni del Terzo Settore partner. L'interesse del Titolare è stato bilanciato con i diritti e le libertà degli interessati secondo i criteri indicati dai Considerando 47-49 GDPR.

3. Miglioramento del servizio e analisi aggregate

Finalità: analisi aggregata e anonimizzata delle modalità di utilizzo della Piattaforma per finalità di monitoraggio dell'efficacia dei servizi, individuazione di criticità tecniche e ottimizzazione dell'esperienza utente.

Base giuridica: legittimo interesse bilanciato del Titolare ai sensi dell'art. 6, par. 1, lett. f), GDPR per i dati aggregati e anonimizzati; consenso dell'interessato ai sensi dell'art. 6, par. 1, lett. a), GDPR per analisi non anonimizzate di dati individuali.

4. Adempimento di obblighi di legge e fiscali (incluso 5x1000)

Finalità: adempimento degli obblighi fiscali, contabili e di rendicontazione previsti dalla normativa vigente in materia di charity, terzo settore e 5x1000.

Base giuridica: adempimento di un obbligo giuridico ai sensi dell'art. 6, par. 1, lett. c), GDPR; e, ove applicabile, legittimo interesse bilanciato ai sensi dell'art. 6, par. 1, lett. f), GDPR.

5. Comunicazioni opzionali, ADV, newsletter, push notification e survey

Finalità: invio di newsletter, comunicazioni promozionali, notifiche push, messaggi pubblicitari (ADV) e survey relative alle iniziative Wishinwell e alle Organizzazioni del Terzo Settore partner. Wishinwell non applica commissioni sulle donazioni; le proprie fonti di ricavo includono ADV, newsletter, push notification, impression e survey.

Base giuridica: consenso dell'interessato ai sensi dell'art. 6, par. 1, lett. a), GDPR. Il conferimento del consenso è interamente facoltativo e può essere revocato in qualsiasi momento, senza necessità di fornire alcuna motivazione, mediante il collegamento di disiscrizione presente in ogni comunicazione o scrivendo direttamente a privacy@wishinwell.it. La revoca del consenso non pregiudica la liceità del trattamento basato sul consenso prestato prima della revoca e non comporta alcuna conseguenza negativa sull'utilizzo della Piattaforma.

La Piattaforma Wishinwell (nelle versioni web, mobile e TV) utilizza cookie e tecnologie di tracciamento analoghe, suddivisi nelle seguenti categorie:

a) Cookie tecnici e strettamente necessari

Finalità: funzionamento tecnico della Piattaforma, autenticazione, gestione della sessione, sicurezza. Base giuridica: legittimo interesse bilanciato ai sensi dell'art. 6, par. 1, lett. f), GDPR. Non richiedono consenso preventivo.

b) Cookie analitici e di profilazione

Finalità: analisi delle modalità di utilizzo della Piattaforma, personalizzazione dell'esperienza utente e dei contenuti (incluse campagne ADV e newsletter). Base giuridica: consenso dell'interessato ai sensi dell'art. 6, par. 1, lett. a), GDPR.

L'utente può gestire le proprie preferenze sui cookie in qualsiasi momento tramite il pannello di gestione disponibile nella Piattaforma o nelle impostazioni del proprio browser/dispositivo. Il rifiuto dei cookie non tecnici non pregiudica l'utilizzo delle funzionalità essenziali della Piattaforma. Per maggiori informazioni si rinvia alla Cookie Policy disponibile nella Piattaforma.

I dati personali trattati da Wishinwell sono conservati per periodi differenziati in funzione della specifica finalità perseguita e nel rispetto dei principi di limitazione della conservazione e minimizzazione dei dati:

a) Dati di account utente

I dati di registrazione sono conservati fino alla cancellazione volontaria dell'account da parte dell'utente, esercitabile in autonomia dall'area personale oppure inviando richiesta a ………………………… . Gli account rimasti inattivi (assenza di accessi) per un periodo superiore a 24 mesi consecutivi potranno essere disattivati da Wishinwell previa comunicazione all'indirizzo e-mail associato all'account con preavviso di 30 giorni. La cancellazione dell'account comporta l'eliminazione definitiva e irreversibile di tutti i dati associati, fatta salva la necessità di conservazione per adempimento di obblighi giuridici o per tutela in sede giudiziaria.

b) Dati di donazioni, wallet e 5x1000

Conservati per il tempo necessario all'adempimento degli obblighi fiscali, contabili e di rendicontazione previsti dalla normativa vigente (di norma 10 anni dalla registrazione della transazione, ai sensi del D.P.R. 600/1973 e normativa fiscale applicabile), nonché per il tempo necessario alla gestione di eventuali contestazioni.

c) Log di sicurezza

I log contenenti gli accessi alla Piattaforma, gli indirizzi IP e le altre informazioni tecniche raccolte per finalità di sicurezza informatica sono conservati per un periodo compreso tra 6 e 12 mesi dalla registrazione. Decorso tale termine, i log sono automaticamente cancellati dai sistemi, salvo che la loro conservazione si renda necessaria per l'accertamento di specifiche violazioni di legge.

d) Dati per comunicazioni opzionali (newsletter, ADV, push)

Gli indirizzi e-mail e i dati degli utenti iscritti alla newsletter e alle comunicazioni promozionali sono conservati fino alla revoca del consenso da parte dell'interessato, esercitabile in qualsiasi momento mediante il collegamento di disiscrizione presente in ogni comunicazione. La revoca del consenso comporta la cessazione immediata dell'invio di comunicazioni e la cancellazione dei dati dalla lista di distribuzione entro 48 ore lavorative.

e) Dati aggregati e anonimizzati

I dati resi definitivamente anonimi mediante tecniche che impediscano qualsiasi futura re-identificazione sono conservati per un periodo indefinito e possono essere utilizzati da Wishinwell per finalità statistiche aggregate, senza alcuna possibilità di risalire all'identità degli interessati.

Conservazione per finalità giudiziarie. Non è possibile determinare ex ante il periodo di conservazione specifico per i dati personali trattati per finalità di accertamento, esercizio o difesa di diritti in sede giudiziaria o amministrativa, in quanto tale periodo dipende dalla durata del procedimento e dai termini di prescrizione previsti dalla normativa civilistica, processuale e amministrativa applicabile (che possono variare da 5 a 10 anni a seconda della natura del diritto tutelato). Tali dati saranno conservati per il tempo strettamente necessario al perseguimento delle suddette finalità e saranno successivamente cancellati.

a) Modalità e misure di sicurezza

Il trattamento dei dati personali avviene mediante strumenti elettronici e automatizzati. Wishinwell adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza commisurato al rischio, tra cui: cifratura dei dati in transito e a riposo; pseudonimizzazione dei dati di transazione blockchain; controllo degli accessi basato su ruoli; monitoraggio continuo degli accessi e degli eventi di sicurezza; procedure di data breach notification ai sensi dell'art. 33-34 GDPR.

b) Utilizzo dell'intelligenza artificiale — Trasparenza e supervisione umana

Wishinwell integra funzionalità di intelligenza artificiale a rischio minimo ai sensi del Reg. UE 2024/1689 (AI Act), limitate a:

• Simulazioni di lasciti solidali («coscienza digitale»): funzionalità opzionale che consente all'utente di configurare una simulazione AI della propria volontà donativa futura. Il processo è interamente trasparente, revocabile in qualsiasi momento e soggetto a supervisione umana.
• Personalizzazione dei contenuti della Piattaforma: suggerimento di iniziative charity, ODV e campagne in base alle preferenze dell'utente (richiede consenso specifico).

Tutti i contenuti generati da sistemi di IA sono identificati con la label «Contenuto generato da IA». Wishinwell non effettua processi decisionali interamente automatizzati che producano effetti giuridici o analoghi effetti significativi sull'interessato ai sensi dell'art. 22 GDPR. Non viene effettuata profilazione individuale a fini di scoring o valutazione della persona.

c) Blockchain e tracciabilità

Le transazioni registrate su blockchain sono pseudonimizzate o anonimizzate. La tecnologia blockchain è utilizzata esclusivamente per garantire la trasparenza e l'immutabilità della rendicontazione delle donazioni a favore degli utenti e delle Organizzazioni del Terzo Settore. I dati registrati su blockchain non possono essere cancellati in via ordinaria; Wishinwell adotta pertanto misure di pseudonimizzazione preventiva prima della registrazione.

a) Categorie di destinatari

I dati personali possono essere comunicati, nella misura minima necessaria, alle seguenti categorie di destinatari:

• Responsabili del trattamento ex art. 28 GDPR: fornitori di servizi di hosting, manutenzione tecnica, analisi e supporto operativo (es. provider cloud, piattaforme di pagamento, partner tecnologici). Tali soggetti trattano i dati personali esclusivamente per conto di Wishinwell, secondo le istruzioni documentate nell'accordo di nomina ex art. 28 GDPR, senza autonomia decisionale sulle finalità e sui mezzi essenziali del trattamento.
• Organizzazioni del Terzo Settore (ETS/ODV/APS/fondazioni) riceventi le donazioni: limitatamente ai dati strettamente necessari all'erogazione della donazione e alla rendicontazione, ove il donatore abbia espressamente scelto di non donare in forma anonima.
• Autorità pubbliche, organismi di vigilanza e autorità giudiziarie: nei casi previsti da specifiche disposizioni di legge o su richiesta obbligatoria formulata nell'esercizio delle loro funzioni (es. Garante per la protezione dei dati personali, Autorità Giudiziaria, Agenzia delle Entrate).
• Piattaforme di distribuzione app: Apple App Store e Google Play Store, nei limiti previsti dalle rispettive politiche, per la distribuzione e il funzionamento dell'applicazione mobile.

I dati personali non sono diffusi a soggetti indeterminati.

b) Trasferimenti verso Paesi terzi

Per l'erogazione di alcuni servizi tecnologici (es. hosting cloud, nodi blockchain, analisi tramite servizi di terze parti), i dati potrebbero essere trattati tramite infrastrutture con server situati al di fuori dello Spazio Economico Europeo. In tali casi, Wishinwell garantisce che i trasferimenti avvengano nel rispetto delle disposizioni del Capo V GDPR, in particolare sulla base di:

• decisione di adeguatezza della Commissione europea (art. 45 GDPR), ove applicabile;
• Clausole Contrattuali Standard (SCC) adottate dalla Commissione europea (art. 46, par. 2, lett. c), GDPR), con adozione di misure supplementari ove necessario (es. anonimizzazione/pseudonimizzazione dei dati prima del trasferimento).

L'utente può richiedere informazioni specifiche sui trasferimenti e sulle garanzie adottate contattando il DPO all'indirizzo indicato alla Sezione 2.

In qualità di interessato, Lei ha il diritto di esercitare specifici diritti nei confronti del Titolare del trattamento. In particolare:

• Diritto di accesso (art. 15 GDPR): può richiedere conferma che sia o meno in corso un trattamento di dati personali che La riguardano e, in tal caso, ottenere l'accesso ai dati e alle informazioni relative al trattamento.
• Diritto di rettifica (art. 16 GDPR): può richiedere la rettifica dei dati inesatti o l'integrazione di quelli incompleti.
• Diritto alla cancellazione («diritto all'oblio») (art. 17 GDPR): può richiedere la cancellazione dei Suoi dati personali qualora sussistano i presupposti previsti dal Regolamento. Si precisa che, per i dati registrati su blockchain in forma pseudonimizzata o anonimizzata, la cancellazione potrebbe non essere tecnicamente possibile; in tali casi Wishinwell adotta misure equivalenti di pseudonimizzazione rafforzata.
• Diritto di limitazione del trattamento (art. 18 GDPR): nei casi previsti dalla norma.
• Diritto alla portabilità dei dati (art. 20 GDPR): nei casi previsti dalla norma, può ricevere i Suoi dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Diritto di opposizione (art. 21 GDPR): può opporsi al trattamento dei Suoi dati fondato sul legittimo interesse del Titolare, esplicitando i motivi connessi alla Sua situazione particolare che giustificano l'opposizione.
• Diritto di revocare il consenso: ove il trattamento sia basato sul consenso, può revocarlo in qualsiasi momento, senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca.
• Diritto di non essere sottoposto a decisioni automatizzate (art. 22 GDPR): ha il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o analoghi effetti significativi. Wishinwell non effettua tali decisioni.

Qualora ritenga che il trattamento dei Suoi dati personali avvenga in violazione di quanto previsto dal Regolamento, può proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it), come previsto dall'art. 77 GDPR, oppure adire le opportune sedi giudiziarie ai sensi dell'art. 79 GDPR.

Per esercitare i Suoi diritti può contattare il Responsabile della Protezione dei Dati all'indirizzo e-mail: dpo@wishinwell.it oppure il Titolare all'indirizzo: privacy@wishinwell.it. Wishinwell risponde alle richieste degli interessati entro 30 giorni dal ricevimento, salvo proroga motivata di ulteriori 60 giorni in caso di complessità o elevato numero di richieste (art. 12 GDPR).

Wishinwell si riserva il diritto di apportare modifiche alla presente informativa in qualsiasi momento, dandone comunicazione agli utenti mediante:

• avviso in evidenza nella Piattaforma (notifica in-app o banner);
• comunicazione all'indirizzo e-mail associato all'account dell'utente, ove disponibile;
• pubblicazione della versione aggiornata nella sezione «Privacy» della Piattaforma, con indicazione della data di ultimo aggiornamento.

Le modifiche sono efficaci dalla data di pubblicazione indicata nell'informativa aggiornata. L'utilizzo continuato della Piattaforma successivamente alla pubblicazione delle modifiche costituisce accettazione delle stesse. Si invita pertanto l'utente a consultare periodicamente la presente informativa.

Per trattamenti nuovi o sostanzialmente diversi rispetto a quelli descritti nella presente informativa, Wishinwell acquisirà un nuovo consenso informato ove richiesto dalla normativa applicabile.