Privacy Policy.

Ultimo aggiornamento: 15 ottobre 2026

La presente informativa descrive come vengono trattati i dati personali degli utenti del sito ilcartaista.com e dell’app Il Cartaista per iOS e Android (di seguito, insieme, “Il Cartaista” o il “Sito”; i riferimenti al Sito comprendono anche l’app), ai sensi del Regolamento (UE) 2016/679 (“GDPR”), del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 (“Codice Privacy”), dei provvedimenti del Garante per la protezione dei dati personali e, per gli utenti che si trovano in Svizzera, della Legge federale sulla protezione dei dati del 25 settembre 2020 (“nLPD”) e della relativa Ordinanza (“OPDa”).

Il Cartaista è un portale informativo indipendente. Non è affiliato, sponsorizzato o approvato da American Express. “American Express” e “Membership Rewards” sono marchi dei rispettivi titolari, citati solo a scopo descrittivo.

1. Titolare del trattamento

Nexa Media Group S.r.l.
Sede legale: Via dei Normanni 30/1, 84085 Mercato San Severino (SA), Italia
C.F. e P.IVA: 06390400650
PEC: nexamediagroup@pec.it — Email: info@nexamediagroup.it
Legale rappresentante: Carmine Rosamilia
Contatto per la privacy: privacy@nexamediagroup.it

Il Titolare non ha nominato un Responsabile della protezione dei dati (DPO), non ricorrendo i presupposti dell’art. 37 GDPR. Per ogni questione relativa ai dati personali è possibile scrivere all’indirizzo privacy@nexamediagroup.it.

Utenti svizzeri. Il Titolare ha sede nell’Unione europea. Non è stato designato un rappresentante in Svizzera, in quanto non ricorrono cumulativamente i presupposti dell’art. 14 nLPD (trattamenti regolari, su vasta scala e comportanti un rischio elevato per le persone interessate). Gli utenti svizzeri possono rivolgersi direttamente ai contatti sopra indicati.

2. Quali dati trattiamo

2.1 Dati di registrazione (tutti gli utenti). Email, password (conservata esclusivamente in forma cifrata con hashing scrypt e sale casuale, mai in chiaro), tipo di account (privato o esercente), nickname o nome visualizzato, eventuale foto profilo, eventuale codice referral utilizzato.

2.1-bis Accesso con Google. Se scegli “Continua con Google”, Google ci comunica l’identificativo del tuo account Google, l’indirizzo email (con la conferma che è verificato), il nome e l’immagine del profilo. Usiamo questi dati solo per creare o collegare il tuo account e farti accedere: il nome serve a precompilare il nickname, l’immagine non viene conservata. Non riceviamo la password del tuo account Google né accediamo ad altri dati o servizi Google. Puoi scollegare l’accesso dalle impostazioni del tuo account Google; eliminando l’account Il Cartaista eliminiamo anche il collegamento.

2.1-ter Accesso con Apple. Se scegli “Continua con Apple”, Apple ci comunica un identificativo del tuo ID Apple, l’indirizzo email (eventualmente un indirizzo privato di inoltro, se scegli “Nascondi la mia email”) e, solo al primo accesso, il nome. Usiamo questi dati solo per creare o collegare il tuo account e farti accedere. Puoi interrompere l’uso di “Accedi con Apple” dalle impostazioni del tuo ID Apple.

2.2 Data di nascita. Viene richiesta al solo scopo di verificare che l’utente sia maggiorenne. Non viene conservata dopo la verifica.

2.3 Dati dichiarati sulle carte. Carte selezionate dal nostro catalogo (o la dichiarazione di non possederne) e saldo Membership Rewards dichiarato dall’utente. Il Sito non richiede e non conserva mai numero di carta, CVV, data di scadenza, PIN, codici OTP, saldi di conto o credenziali American Express. Il Sito non ha alcun collegamento con l’account American Express dell’utente.

2.4 Dati degli esercenti. Nome attività, Partita IVA, email aziendale; contenuti della vetrina (categoria, descrizione, indirizzo, telefono, sito web, offerte, fotografie); dati di fatturazione (codice SDI o PEC, codice fiscale/P.IVA, indirizzo, città, CAP, provincia); storico degli acquisti di pacchetti punti; dati inseriti nella richiesta di partnership SumUp × Fluent (nome e cognome, nome attività, email aziendale, tipologia cliente, fascia di transato mensile stimato).

2.5 Programma fedeltà. Codice fedeltà, numero socio (es. CT-000123), codice referral personale, saldo e movimenti punti, importi di spesa dichiarati dagli esercenti per l’accredito punti, prenotazioni e riscatti di promozioni, stato dell’account (attivo/congelato).

2.6 Contenuti inseriti dagli utenti e Community. Commenti agli articoli; segnalazioni di attività che accettano American Express (nome attività, città, indirizzo, coordinate); nella Community: post, rapporti di viaggio con fino a 8 foto, sondaggi, tag città e consigli su luoghi con coordinate, commenti, mi piace e reazioni, messaggi in chat incluse foto e messaggi vocali, eventi, inserzioni della Community, recensioni degli esercenti e segnalazioni di truffe o phishing. Se scegli “Visibile anche sul sito”, il post e il nome visualizzato sono pubblicati sulla pagina pubblica della Community e nella guida della città collegata. Su richiesta i messaggi possono essere tradotti automaticamente.

2.9 Dati dell’app. Token per le notifiche push e piattaforma del dispositivo; preferenze di notifica e pausa notturna; dati mostrati in widget, Live Activity (Dynamic Island) e tessera Apple Wallet o Google Wallet (numero socio, punti, livello, carte timbri e ultimi movimenti). Con il tuo permesso l’app usa: la posizione, per mostrarti le attività vicine e, solo se attivi “Attività vicine”, anche in background per avvisarti vicino a una vetrina (le coordinate sono inviate al server solo per cercare le attività vicine e non vengono salvate; quelle che aggiungi volontariamente a una segnalazione o a un consiglio sono salvate con il contenuto); la fotocamera (scansione del QR della tessera da parte dell’esercente); la libreria foto (immagini che scegli di caricare); il microfono (solo per registrare i messaggi vocali che invii); Face ID/Touch ID (gestiti interamente dal dispositivo: non riceviamo dati biometrici). Ogni permesso è revocabile dalle impostazioni del dispositivo.

2.10 Strumenti personali. Dati che inserisci in Carte+ e Strumenti: calendario dei vantaggi e promemoria, storico del saldo Membership Rewards, obiettivi, viaggi e ricerche Miles salvati, luoghi preferiti, condivisione in famiglia (gli account collegati vedono solo saldo e obiettivi che scegli di condividere), carte timbri ottenute presso gli esercenti e prenotazioni.

2.11 Assistenza. Messaggi scambiati con l’assistente virtuale e con i nostri operatori, valutazione della conversazione e, per i visitatori, l’email indicata.

2.12 Newsletter. Email e stato dell’iscrizione, solo se ti iscrivi.

2.13 Acquisti in app. Per gli acquisti effettuati nell’app (Premium, punti esercente, punti e abbonamenti del Miles Calculator) il pagamento è gestito da Apple o Google; da RevenueCat riceviamo solo un identificativo dell’utente dell’app, il prodotto, l’identificativo della transazione, il prezzo, lo stato e la scadenza dell’abbonamento ed eventuali rimborsi concessi dallo store, mai la carta di pagamento. Per questi acquisti è Apple o Google a rilasciare la ricevuta.

2.14 Acquisti di punti e abbonamenti Miles sul Sito. Quando acquisti punti o un abbonamento Miles sul Sito trattiamo: nome e cognome (o ragione sociale), codice fiscale, eventuale partita IVA, indirizzo di fatturazione, email per la fattura, prodotto, importo, data, stato del pagamento, identificativi del pagamento Stripe, data in cui hai accettato i Termini e chiesto l’esecuzione immediata del servizio, numero e PDF della fattura emessa, eventuali rimborsi (importo, punti tolti dal saldo, data). I dati della carta sono raccolti e trattati esclusivamente da Stripe: non li riceviamo né li conserviamo.

2.15 Ricerca live del Miles Calculator. Per la ricerca live trattiamo la tratta, le date, la classe, il numero di passeggeri, i programmi scelti, il metodo di pagamento della ricerca (punti, ricerca inclusa nell’abbonamento o gratuita) ed eventuali rimborsi. Al nostro servizio di ricerca, che consulta i siti delle compagnie aeree, inviamo solo i dati del viaggio, mai il tuo nome, la tua email o altri dati dell’account. I risultati sono conservati in un archivio delle tratte senza alcun collegamento alla tua identità, così che la stessa tratta sia gratuita per tutti gli iscritti per alcune ore; il collegamento tra la tua ricerca e il tuo account resta solo nel registro delle tue ricerche.

2.7 Dati tecnici e di sicurezza. Indirizzo IP, dati di sessione, log dei tentativi di accesso e di abuso (rate limiting), log tecnici dei server, log delle email transazionali inviate, token di verifica email e di reimpostazione password.

2.8 Dati di navigazione, statistica e pubblicità. Tramite cookie e tecnologie simili, solo previo consenso ove richiesto: identificatori online, dati di utilizzo del Sito, informazioni sul dispositivo e sul browser, posizione approssimativa. Dettagli nella Cookie Policy.

Il Sito non richiede categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali o reati. Si invita l’utente a non inserirne nei campi liberi (commenti, descrizioni).

3. Finalità e basi giuridiche

Per le finalità basate sul legittimo interesse l’utente può opporsi in qualsiasi momento (art. 21 GDPR). Il consenso per le finalità k, l e m può essere revocato in qualsiasi momento tramite il link “Preferenze cookie” presente in fondo a ogni pagina, senza pregiudicare la liceità del trattamento effettuato prima della revoca.

Il Sito non effettua decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o analogamente significativi sull’utente (art. 22 GDPR; art. 21 nLPD). Le decisioni di moderazione, sospensione e approvazione sono assunte da amministratori umani o da moderatori volontari da noi nominati. Strumenti automatici (inclusi modelli di intelligenza artificiale) possono trattenere un’immagine o un testo per la revisione, ma non adottano decisioni definitive; puoi sempre chiedere una revisione umana.

4. Natura del conferimento

Il conferimento dei dati contrassegnati come obbligatori nei moduli è necessario per registrarsi e usare i servizi: in mancanza, non è possibile creare l’account o usare la funzione richiesta. Il conferimento dei dati di fatturazione (incluso il codice fiscale) è necessario per acquistare pacchetti punti, punti o abbonamenti Miles sul Sito, perché serve a emettere la fattura. Il consenso ai cookie statistici e pubblicitari è facoltativo: il rifiuto non impedisce l’uso del Sito.

5. Destinatari dei dati

I dati sono trattati da personale autorizzato e istruito dal Titolare (art. 29 GDPR; art. 2-quaterdecies Codice Privacy) e dai seguenti fornitori, che operano come responsabili del trattamento (art. 28 GDPR) vincolati da apposito accordo o, dove indicato, come titolari autonomi:

I dati possono inoltre essere comunicati ad autorità pubbliche e giudiziarie quando richiesto dalla legge. Il Titolare non vende direttamente i dati dell’account. I fornitori pubblicitari e affiliati possono ricevere dati tecnici e di navigazione solo secondo le scelte cookie espresse e trattarli secondo le rispettive informative. L’elenco aggiornato dei responsabili è disponibile su richiesta a privacy@nexamediagroup.it.

Dati visibili ad altri utenti. Il nome visualizzato e l’eventuale foto profilo sono visibili agli altri utenti accanto ai commenti. Le vetrine degli esercenti sono visibili agli utenti registrati. Le segnalazioni approvate diventano un punto pubblico sulla mappa (nome attività, città, coordinate), senza alcun dato del segnalante. Nella Community nome visualizzato, foto, livello e badge compaiono accanto a post, commenti, messaggi in chat, vocali, recensioni ed eventi; solo i post contrassegnati “Visibile anche sul sito” sono visibili anche a chi non ha un account.

6. Trasferimenti di dati fuori dall’UE/SEE e dalla Svizzera

Alcuni fornitori hanno sede o infrastrutture negli Stati Uniti o in altri Paesi terzi. I trasferimenti avvengono esclusivamente sulla base di:

• decisione di adeguatezza della Commissione europea del 10 luglio 2023 sull’EU-U.S. Data Privacy Framework, per i fornitori certificati e, per gli utenti svizzeri, dell’inclusione degli Stati Uniti (limitatamente alle società certificate allo Swiss-U.S. Data Privacy Framework) tra i Paesi con protezione adeguata di cui all’Allegato 1 OPDa;
• Clausole contrattuali standard approvate dalla Commissione europea con Decisione (UE) 2021/914, riconosciute anche dall’Incaricato federale svizzero, per i fornitori non certificati o per trasferimenti verso altri Paesi;
• decisioni di adeguatezza relative al Regno Unito e alla Svizzera, ove applicabili.

Paesi di possibile destinazione dei dati: Stati Uniti, Regno Unito, Emirati Arabi Uniti. L’utente può chiedere copia delle garanzie adottate scrivendo a privacy@nexamediagroup.it.

7. Periodo di conservazione

Alla cancellazione dell’account vengono eliminati in via definitiva profilo, carte, punti fedeltà e relativi movimenti, vetrine, commenti, segnalazioni, prenotazioni, sessioni, token, collegamenti e referral. Restano conservati, per il solo tempo e scopo imposti dalla legge, i dati necessari ad adempiere a obblighi fiscali e contabili. I dati delle richieste SumUp/Fluent vengono anonimizzati. Decorsi i termini indicati, i dati sono cancellati o resi anonimi in modo irreversibile.

8. Sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate (art. 32 GDPR; art. 8 nLPD), tra cui: cifratura delle password con scrypt, connessione HTTPS, cookie di sessione HttpOnly/Secure/SameSite, accesso al database limitato, protezione anti-bot, limitazione dei tentativi di accesso, registro di audit delle azioni amministrative, accesso ai dati limitato al personale autorizzato. In caso di violazione dei dati personali, il Titolare adempie agli obblighi di notifica all’autorità di controllo e, se necessario, di comunicazione agli interessati (artt. 33-34 GDPR; art. 24 nLPD).

9. Diritti dell’interessato

Utenti nell’UE/SEE. L’utente può in ogni momento esercitare i diritti di cui agli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso. La cancellazione dell’account è disponibile in autonomia dalle impostazioni del profilo; le altre richieste, inclusa la copia dei dati in formato strutturato e leggibile da dispositivo automatico, possono essere inviate a privacy@nexamediagroup.it o via PEC a nexamediagroup@pec.it. Il Titolare risponde senza ingiustificato ritardo e comunque entro un mese, prorogabile di due mesi nei casi previsti dall’art. 12 GDPR. Per verificare l’identità del richiedente il Titolare può chiedere di inviare la richiesta dall’indirizzo email associato all’account. L’utente ha il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o all’autorità di controllo dello Stato membro in cui risiede o lavora.

Utenti in Svizzera. L’utente dispone dei diritti previsti dalla nLPD, in particolare il diritto d’accesso (art. 25), alla consegna o trasmissione dei dati (art. 28), alla rettifica, alla cancellazione e di opporsi al trattamento (art. 32). Le richieste vanno inviate agli stessi contatti; la risposta è fornita di norma entro 30 giorni. L’utente può rivolgersi all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna (www.edoeb.admin.ch).

Utenti in altri Paesi. Agli utenti residenti in Paesi diversi (es. Regno Unito) sono garantiti i diritti previsti dalla normativa locale applicabile, esercitabili agli stessi contatti.

10. Minori

Il Sito è riservato ai maggiori di 18 anni. La registrazione viene rifiutata se la data di nascita indicata non corrisponde alla maggiore età. Se il Titolare viene a conoscenza di dati raccolti da un minore, provvede a cancellarli senza ritardo.

11. Pubblicità e link affiliati

Il Sito può mostrare annunci forniti da Google AdSense, Adsterra e Infolinks. I relativi tag sono sottoposti alle preferenze di consenso gestite da iubenda. Questi fornitori possono usare cookie e tecnologie simili per erogare, misurare e, se autorizzato, personalizzare gli annunci. Per maggiori informazioni: Google, Adsterra e Infolinks. L’utente può modificare o revocare le proprie scelte in qualsiasi momento dal pannello “Preferenze cookie”.

Il Sito può inoltre usare Skimlinks per convertire alcuni collegamenti a negozi in link affiliati e attribuire eventuali commissioni. Se l’utente effettua un acquisto tramite tali link, Il Cartaista può ricevere una commissione senza costi aggiuntivi per l’utente. Il codice Skimlinks è sottoposto alle preferenze cookie. Informativa: Skimlinks.

Gli spazi pubblicitari e i contenuti sponsorizzati sono segnalati come tali. La presenza di link affiliati è indicata negli articoli interessati.

12. Modifiche

La presente informativa può essere aggiornata. In caso di modifiche sostanziali, gli utenti registrati saranno avvisati via email o tramite avviso sul Sito prima della loro applicazione. La data di ultimo aggiornamento è indicata in apertura.

13. Contatti

Nexa Media Group S.r.l. — Via dei Normanni 30/1, 84085 Mercato San Severino (SA)
Privacy: privacy@nexamediagroup.it — PEC: nexamediagroup@pec.it — Sito: info@ilcartaista.com