Informativa sulla privacy

Avviso importante

La presente Informativa sulla privacy spiega come LocalWheels Albania (“LocalWheels”, “noi”) tratta i dati personali quando utilizzi il nostro sito web e i nostri servizi. È progettato per essere dettagliato e in linea con gli obblighi di trasparenza previsti dalla legislazione albanese sui dati personali (legge n. 9887/2008 “Sulla protezione dei dati personali” e successive modifiche e statuti) e, ove applicabile, dal regolamento generale sulla protezione dei dati dell’UE (GDPR) per gli utenti che rientrano nel suo ambito di applicazione. Non è una consulenza legale; consulta un avvocato per la tua situazione specifica.

Titolare e contatto

Il titolare del trattamento dei dati personali trattati attraverso questo mercato è l'entità operativa dietro LocalWheels Albania come identificato nella pagina legale/impronta o contatti del sito web. Per richieste di protezione dei dati (accesso, correzione, cancellazione ove applicabile, obiezioni, reclami), contattaci tramite l'e-mail o l'indirizzo postale pubblicato nella pagina Contatti. Potremmo porre domande ragionevoli per verificare la tua identità prima di soddisfare le richieste.

Categorie di dati personali che trattiamo

Account and profile: email address, password hash, display name, account role (traveller / owner / driver / admin), preferred language, account closure timestamps, and similar account metadata.

Identity and eligibility: where offered, identity verification status, uploaded identity document references or URLs, and related review notes accessible only to authorised staff.

Owner / host business data: phone numbers shown or stored for hosting workflows, bank or payout details if collected for host settlements, internal wallet ledger references, and promotion purchase history.

Driver / transfer partner data: driver profile display name, phone number, verification status, service areas, vehicle make/model/plate/seats/luggage capacity, per-driver commission override if set, internal wallet balance and ledger entries (payouts, cancellation shares, penalties, withdrawals), and withdrawal request metadata.

Booking and trip data (car rental): traveller and host identifiers linked to a booking, vehicle ID, pickup and return instants, pickup and drop-off location IDs, booking status, optional traveller message text, child seat count requested, outside-country selection flag, voucher identifiers and discount amounts applied, frozen ’listing terms snapshot’ JSON capturing pricing/policy fields at booking time, fee and deposit amounts in EUR/cents, Stripe identifiers (session ID, payment intent ID, payment status, paid-at timestamp), refund status fields, pickup/return dispute descriptions, URLs or JSON arrays of proof images uploaded to cases, administrative ruling fields, and timestamps for lifecycle events (vehicle returned, host acknowledgement, etc.).

Transfer request and trip data: traveller and assigned driver identifiers, route from/to location IDs, scheduled pickup instant, passenger count, luggage notes, traveller phone and optional flight number (shared with the assigned driver after payment), transfer status, driver offers (price, message, timestamps), accepted offer totals, commission and driver payout amounts in cents, Stripe checkout identifiers and payment status, cancellation split amounts, driver penalty amounts, dispute descriptions and admin resolution fields, transfer message bodies, transfer review rating/text, and lifecycle timestamps.

Messaging: booking and transfer message bodies, sender user ID, timestamps, and optional attached image URLs for dispute evidence.

Payments metadata: we do not store full payment card numbers or CVC codes. Stripe provides tokens, payment intent IDs, charge status, and amounts. We store our own breakdown of checkout line items in cents for accounting and customer support.

Technical and security: server logs may contain IP addresses, user-agent strings, timestamps, request paths, error diagnostics, and anti-abuse signals.

Cookies and local storage: see the dedicated section below.

Marketing: we only send promotional communications where we have a lawful basis (typically consent or soft opt-in where permitted). You can withdraw marketing consent at any time.

Categorie particolari di dati

I documenti d'identità possono contenere dati considerati sensibili dalla legge albanese o dell'UE (ad esempio dati che rivelano la nazionalità o la somiglianza biometrica in un documento d'identità con foto). Elaboriamo tali dati solo ove necessario per la verifica, la prevenzione delle frodi o la conformità legale e con adeguate restrizioni di accesso. Se non desideri fornire questi dati, potresti non essere in grado di utilizzare le funzionalità soggette a verifica.

Finalità e basi giuridiche (mappatura stile Albania/GDPR)

Performing the contract with you (Article 6(1)(b) GDPR-style; analogous contractual necessity under Albanian law): creating accounts, publishing listings, processing booking and transfer requests, driver offers, calculating prices, operating messaging, displaying booking and transfer history, and processing card payments for platform fees, car-rental checkout, and transfer fares through Stripe.

Legitimate interests (Article 6(1)(f) GDPR-style; balanced against your rights): fraud detection, network security, debugging, product analytics that does not require consent where not using non-essential cookies, enforcing our Terms, and defending legal claims.

Legal obligation (Article 6(1)(c)): tax, accounting, and responding to lawful requests from public authorities.

Consent (Article 6(1)(a)): non-essential cookies / optional analytics when we enable them and you opt in via the banner; any optional marketing you explicitly agree to.

Where Albanian law applies without the GDPR, we still apply similar principles: purpose limitation, data minimisation, security, and retention aligned with the purposes above.

Destinatari e responsabili del trattamento

Condividiamo i dati personali con i subresponsabili strettamente secondo necessità:

Stripe Payments Europe Ltd (o altre entità Stripe a seconda della configurazione) per pagamenti con carta, rimborsi e segnali di frode, soggetti alla politica sulla privacy di Stripe e, ove pertinente, all'Accordo sull'elaborazione dei dati di Stripe.

Fornitori di hosting, database e consegna di posta elettronica che archiviano o trasmettono dati per nostro conto in base a obblighi contrattuali di riservatezza e sicurezza.

Cloudinary (o simile) per l'hosting di foto di veicoli caricate, immagini a prova di chat/controversie e immagini di verifica.

Consulenti professionali (avvocati, commercialisti) sotto segreto professionale quando richiesto.

Autorità pubbliche quando una richiesta legittima e adeguatamente mirata richiede la divulgazione.

Non vendiamo i vostri dati personali nel senso di scambio di liste a scopo di lucro. Eventuali futuri partner analitici o pubblicitari verranno elencati qui prima dell'inizio dell'elaborazione.

Trasferimenti internazionali

Alcuni fornitori (in particolare Stripe e le infrastrutture con sede negli Stati Uniti) possono elaborare dati al di fuori dell'Albania o del SEE. Laddove si applica il GDPR, facciamo affidamento su garanzie adeguate come clausole contrattuali standard (SCC) e/o decisioni di adeguatezza, integrate da misure tecniche e organizzative. Anche la legge albanese richiede garanzie per i trasferimenti; implementiamo tutele contrattuali con i processori.

Periodi di conservazione (indicativi)

Active account data: for the life of the account plus a short technical grace period.

Closed accounts: we may anonymise or delete personal identifiers where possible; certain records (hashed audit trails, booking or transfer IDs without direct identifiers) may be kept longer where law requires.

Bookings, transfers, and invoices: typically kept for at least the statutory accounting and tax retention period applicable to our company (often multiple years — exact duration follows Albanian accounting/tax law and our auditor’s guidance).

Stripe transaction metadata: aligned with financial reconciliation needs and chargeback windows.

Server logs: rotated on a short cycle unless needed for security investigations.

Verification documents: retained only as long as needed for the verification purpose and legal defence, then deleted or anonymised unless a longer period is mandatory.

Exact schedules may be refined internally; you may request a summary for your data in a subject access request.

I tuoi diritti

A seconda della legge applicabile, potresti avere il diritto di: accedere ai tuoi dati personali; richiedere la correzione di dati inesatti; richiedere la cancellazione ove opportuno; richiedere la limitazione del trattamento; opporsi ad alcuni trattamenti basati su interessi legittimi; revocare il consenso laddove il trattamento fosse basato sul consenso; e ricevere una copia leggibile dalla macchina dei dati forniti (portabilità dei dati) ove tecnicamente fattibile.

Lei potrà proporre reclamo ad un'autorità di controllo. Per i trattamenti disciplinati dal GDPR, questa può essere l'autorità di controllo del tuo domicilio abituale, del luogo di lavoro o del luogo della presunta violazione. Per l'elaborazione limitata all'Albania, i reclami possono essere indirizzati al Commissario albanese per l'informazione e la protezione dei dati (Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale) come previsto dalla Legge 9887 e dagli attuali dettagli di contatto pubblicati da tale autorità.

Processo decisionale automatizzato: non prendiamo decisioni esclusivamente automatizzate con effetti legali o simili significativi su di te senza revisione umana; il prezzo è deterministico in base alle regole che puoi consultare nei Termini e nelle informative sugli elenchi.

Cookie, archiviazione locale e tecnologie simili

Essential / strictly necessary: authentication session cookies where the product uses cookie-based sessions; security cookies; and first-party storage such as `lw_locale` (language preference, typically up to one year) and `lw_cookie_consent_v1` (your cookie-banner choice: essential-only or analytics accepted, with a timestamp) needed to operate the site and honour consent. These do not require consent under EU ePrivacy guidance but we disclose them here.

Optional analytics (consent-based): disabled by default. If you click ’Accept all’ in the cookie banner, we record that choice in `lw_cookie_consent_v1` and may load Google Analytics 4 (gtag.js) to measure traffic and product usage. You can withdraw by choosing ’Essential only’ on a fresh visit after clearing site data, or by clearing local storage for this site.

Other measurement scripts: we may load third-party analytics scripts (for example Ahrefs) for aggregate site measurement. Where required by law, we treat these according to our consent configuration and update this section when our setup changes.

Do Not Track: there is no uniform standard; we currently do not respond to DNT browser signals beyond applying default privacy settings described here.

Bambini

The service is directed at adults who can enter into rental or transport arrangements. We do not knowingly register children under the age required by Albanian law to consent to data processing without parental authority. If you believe a minor has provided data, contact us to delete it.

Sicurezza

Implementiamo misure tecniche e organizzative adeguate al rischio: TLS per la crittografia dei trasporti, controlli di accesso per il personale, hashing delle password per le credenziali e segregazione dei segreti di produzione. Nessun sistema online è perfettamente sicuro; segnalare sospette vulnerabilità attraverso il nostro canale di contatto.

Modifiche a questa politica

Aggiorneremo la presente Informativa sulla privacy quando la nostra elaborazione cambierà. La data dell'“Ultimo aggiornamento” verrà rivista. Le modifiche sostanziali saranno evidenziate ove possibile (avviso sul sito web o e-mail).