Titolare del Trattamento: - Ragione sociale: ROSSO GROUP SRL - Numero impresa BCE/KBO: 1020.414.165 - Numero TVA/BTW: BE 1020.414.165 - Sede legale: Rue du Messager d'Anvers 5, 1400 Nivelles, Belgio - Email: legal@rossocoin.com Referente per la protezione dei dati: - Email: privacy@rossocoin.com - Le richieste privacy si gestiscono per email o dalla sezione Profilo → Impostazioni Privacy dell'applicazione

2.1. Dati forniti volontariamente: - Dati anagrafici: nome, cognome, email, telefono, data di nascita - Dati residenza: indirizzo, città, CAP, paese - Dati account: username, password (criptata), foto profilo - Dati finanziari: IBAN solo quando necessario per operazioni legalmente abilitate - Documenti di identità: esclusivamente quando una verifica KYC sia necessaria e legalmente fondata; non vengono richiesti per la normale iscrizione 2.2. Dati raccolti automaticamente: - Dati tecnici: indirizzo IP, user agent, device ID - Dati navigazione: pagine visitate, click, tempo permanenza - Dati transazionali: acquisti, RossoCoin guadagnati/spesi - Dati geolocalizzazione: posizione GPS (solo se autorizzato) - Per i driver online: posizione precisa durante il servizio di consegna, anche quando l'app è in background, viene usato Google Maps o lo schermo è bloccato. Il tracciamento si ferma quando il driver va offline. - Dati dispositivo per notifiche: token tecnico Firebase Cloud Messaging, piattaforma e versione dell'app - Cookie e tecnologie simili (vedi Cookie Policy) 2.3. Dati di terze parti: - Sponsor/referral: ID del promotore che ti ha invitato - Attribuzione commerciale: relazione tecnica con il codice di invito, senza effetti economici derivanti dalla sola iscrizione - Recensioni pubbliche: valutazioni e commenti visibili

3.1. Esecuzione del contratto (art. 6.1.b GDPR): - Gestione account e autenticazione - Erogazione RossoCoin cashback e commissioni - Elaborazione ordini presso Punti Vendita - Gestione di eventuali rimborsi o conversioni solo quando legalmente abilitati - Comunicazioni relative al servizio 3.2. Obbligo legale (art. 6.1.c GDPR): - Adempimenti fiscali e contabili - KYC/AML (anti-money laundering) - Conservazione dei soli documenti e dati richiesti dalla normativa fiscale, contabile o antiriciclaggio per i rispettivi termini applicabili - Segnalazioni autorità competenti 3.3. Consenso esplicito (art. 6.1.a GDPR): - Marketing e newsletter (revocabile in qualsiasi momento) - Profilazione per offerte personalizzate - Geolocalizzazione facoltativa degli utenti per mostrare i PV vicini - Cookie non essenziali 3.4. Esecuzione del rapporto di lavoro o di servizio e interesse legittimo, previa informativa specifica: - Tracciamento operativo del driver soltanto durante un servizio attivato, quando necessario per eseguire e coordinare la consegna. Il tracciamento termina alla chiusura del servizio, non è usato per pubblicità e non viene venduto. 3.5. Legittimo interesse (art. 6.1.f GDPR): - Sicurezza e prevenzione frodi - Miglioramento servizio e UX - Analytics anonimizzati - Assistenza clienti

Ai sensi degli artt. 15-22 GDPR, hai diritto di: ✅ ACCESSO (art. 15): Ottenere copia dei tuoi dati personali ✅ RETTIFICA (art. 16): Correggere dati inesatti o incompleti ✅ CANCELLAZIONE (art. 17): "Diritto all'oblio" - eliminare i tuoi dati ✅ PORTABILITÀ (art. 20): Ricevere dati in formato JSON/CSV ✅ OPPOSIZIONE (art. 21): Opporti a trattamenti per marketing ✅ LIMITAZIONE (art. 18): Bloccare temporaneamente i trattamenti ✅ REVOCA CONSENSO: Ritirare consenso marketing in qualsiasi momento 📧 Come esercitare i diritti: - Email: privacy@rossocoin.com - Sezione app: Profilo → Impostazioni Privacy → Gestisci Dati - Pagina web: https://rossocoin.com/DeleteAccountRequest - Risposta entro un mese; il termine può essere prorogato di ulteriori due mesi nei casi complessi, informandoti entro il primo mese 🛡️ Diritto di reclamo: Se ritieni violati i tuoi diritti, puoi fare reclamo all'Autorità: - Belgio: Autorité de protection des données / Gegevensbeschermingsautoriteit (APD/GBA) - Italia: Garante per la Protezione dei Dati Personali

5.1. Categorie destinatari: ✅ Fornitori servizi tecnici: Base44 (hosting, database e archiviazione file) ✅ Payment processor: Stripe (pagamenti con carta) ✅ Google Firebase Cloud Messaging: consegna delle notifiche push alle app Android ✅ Invio email di servizio: Google (Gmail API) per le comunicazioni della piattaforma ✅ Servizi AI: fornitori di modelli linguistici usati per funzioni di assistenza, traduzione automatica e lettura di ticket/menu caricati ✅ Notifiche opzionali: Slack, solo per i promotori che collegano il proprio account ✅ Autorità: solo su richiesta legale (fisco, polizia) 5.2. Trasferimenti extra-UE: Alcuni fornitori sono USA-based con adeguate garanzie: - decisione di adeguatezza applicabile, incluso l'EU-US Data Privacy Framework quando il destinatario vi aderisce, oppure Standard Contractual Clauses (SCC) - valutazione del trasferimento e misure supplementari quando necessarie - Data Processing Agreements (DPA) e controllo dei sub-responsabili 5.3. NON vendiamo dati a terzi per scopi commerciali.

Tempi di conservazione per finalità: 📅 Account attivo: - Dati anagrafici: per tutta la durata dell'account - Documenti fiscali e contabili: per il periodo previsto dalla normativa applicabile; gli altri dati transazionali sono minimizzati o anonimizzati quando non più necessari - Conversazioni chat: 2 anni 📅 Account cancellato: - Backup: 90 giorni (disaster recovery) - Obblighi legali: soltanto dati essenziali e per il periodo specificamente applicabile - Marketing: cancellazione immediata 📅 Cookie: - Essenziali: sessione (chiusura browser) - Analytics: 24 mesi - Marketing: 12 mesi (se consenso) 📅 Logs tecnici: 6 mesi (sicurezza)

Misure tecniche e organizzative: 🔒 Cifratura: - Cifratura in transito mediante protocolli TLS aggiornati - Credenziali gestite dal fornitore di autenticazione con misure adeguate - Cifratura a riposo quando fornita e documentata dall'infrastruttura utilizzata 🛡️ Accessi: - Autenticazione rafforzata per gli account privilegiati quando configurata - Principio "least privilege" per staff - Registrazione degli accessi e delle operazioni critiche nella misura tecnicamente disponibile 🔍 Monitoraggio: - Registrazione e monitoraggio degli eventi di sicurezza disponibili - Backup e procedure di ripristino secondo i servizi effettivamente configurati - Verifiche periodiche delle misure tecniche e organizzative 🎓 Organizzazione: - Formazione periodica del personale autorizzato - Istruzioni interne, controllo degli accessi e gestione degli incidenti

8.1. Cookie e memoria locale essenziali (no consenso richiesto): - Sessione di accesso: per restare collegato - Preferenze di lingua, ordine delle icone di navigazione, consenso cookie - Dati tecnici minimi per il recupero della versione dell'app 8.2. Cookie analytics (consenso richiesto): - Statistiche interne di utilizzo delle funzioni dell'app (dati aggregati, senza profilazione pubblicitaria) 8.3. Cookie marketing (consenso richiesto): - Attualmente NON utilizziamo pixel o cookie pubblicitari di terze parti (nessun Facebook Pixel, nessun Google Ads tracking). Se in futuro verranno introdotti, la presente informativa sarà aggiornata e il consenso richiesto prima dell'attivazione. 📋 Gestione cookie: - Banner al primo accesso con opt-in - Modifica preferenze: banner cookie / impostazioni del browser - Browser: puoi bloccarli dalle impostazioni

RossoCoin è vietato a minori di 18 anni. Se scopriamo account di minorenni: - Sospensione immediata - Richiesta verifica età - Cancellazione dati se confermato <18 anni - Notifica genitori/tutori Segnalazioni: privacy@rossocoin.com

Possiamo modificare questa policy per: - Adeguamenti normativi - Nuove funzionalità app - Miglioramenti sicurezza 📧 Notifica modifiche: - Email 30 giorni prima - Banner app con diff delle modifiche - Possibilità recesso se non accetti Versione corrente: 2.2 (04/09/2026)

📧 Email: privacy@rossocoin.com 📮 Posta: ROSSO GROUP SRL, Rue du Messager d'Anvers 5, 1400 Nivelles, Belgio 🛡️ Autorità controllo Belgio: Gegevensbeschermingsautoriteit (GBA/APD) Rue de la Presse 35, 1000 Bruxelles +32 (0)2 274 48 00 contact@apd-gba.be