---
title: "Privacy"
url: https://tourcockpit.com/it/privacy
lang: it
description: "Che cosa raccoglie TourCockpit, dove viene trattato, chi altro lo tocca, e come riaverlo o farlo cancellare. Scritta per essere letta e non per essere sopportata: i dettagli ci sono, compresa la regione in cui si trova il database e ogni azienda da cui dipendiamo."
---

# Privacy

Che cosa raccoglie TourCockpit, dove viene trattato, chi altro lo tocca, e come riaverlo o farlo cancellare. Scritta per essere letta e non per essere sopportata: i dettagli ci sono, compresa la regione in cui si trova il database e ogni azienda da cui dipendiamo.

## Chi è responsabile di che cosa?

TourCockpit è gestito da IdeaPlaces. Per i dati che riguardano la tua azienda e le persone che accedono, siamo noi a decidere che cosa viene raccolto e perché, quindi siamo il titolare del trattamento. Per i dati operativi che il tuo ufficio inserisce nel prodotto, in primo luogo gli ospiti delle tue escursioni, è la tua azienda a decidere che cosa viene inserito e a quale scopo, e noi li conserviamo e agiamo secondo le tue istruzioni, quindi il titolare sei tu e noi siamo il responsabile del trattamento.

In pratica: il nome di un passeggero su un elenco partecipanti appartiene all'azienda di escursioni che lo ha inserito. Non lo usiamo per nulla se non per far funzionare il prodotto per quell'azienda.

## Che cosa viene raccolto?

| Categoria | Che cosa è | Perché |
| --- | --- | --- |
| Account | Nome, indirizzo email, ruolo, l'azienda, la lingua che la persona ha scelto e quando l'ha scelta, quali avvisi riceve in ogni azienda per cui lavora e come le arriva ciascuno, il modo in cui ha inviato la bacheca del giorno l'ultima volta: il file, i giorni e a quali dei suoi colleghi è andata, e, nell'agenzia di un rivenditore, se ha già visto o chiuso l'invito a far entrare i suoi colleghi | Per far accedere una persona, decidere cosa può vedere, scriverle nella sua lingua, aprire la finestra di esportazione come l'ha lasciata e non chiedere di nuovo a un'agenzia quello a cui ha già risposto |
| Credenziali | Un hash della password (Argon2id, mai la password), l'ultima volta che qualcuno ha effettuato l'accesso con Google dove si accede così, il giorno in cui una persona è entrata per la prima volta, e le sessioni aperte da una persona | Per l'accesso, per sapere che un invito è stato accettato e i promemoria possono fermarsi, e per chiudere tutte le altre sessioni quando una password cambia |
| Operativi | Prenotazioni, passeggeri, orari di pick-up, hotel, veicoli, guide, operatori turistici, le note che scrive un ufficio | Questo è il prodotto: la bacheca giornaliera, gli elenchi partecipanti e la liquidazione di fine mese si costruiscono da qui |
| Messaggi | Le email che il prodotto invia, conservate come scritte, e ogni messaggio WhatsApp che invia, come il messaggio e le parole inserite al suo interno. Nella copia che parte, ogni link passa per TourCockpit e viene aggiunta un'immagine di un pixel, così registriamo quando la persona ha aperto l'email, su quali link ha cliccato, e il nome che indica il suo browser o programma di posta | Così un ufficio può rispondere a "che cosa ha ricevuto esattamente questa persona", e così possiamo sapere quali email vengono lette e quali link vengono usati |
| Conversazioni con Faro | Che cosa qualcuno ha chiesto a Faro e che cosa ha risposto, conservato con i dati dell'azienda stessa. Accanto a una risposta che ha disegnato un pezzo della bacheca, un giorno, una partenza o una sola prenotazione, si conservano con essa le righe da cui quel pezzo è stato disegnato: gli ospiti, le camere, i numeri di telefono e i contanti come stavano in quel momento, e niente che chi chiedeva non potesse già vedere. Vengono rilette solo quando qualcuno esamina quella conversazione: un Titolare dell'azienda, per le conversazioni dell'ufficio stesso e mai per quelle dell'agenzia di un rivenditore, oppure il personale di TourCockpit, che può leggerle tutte e riascoltare il suono delle loro chiamate, ogni ascolto e ogni download registrato a nome della persona che l'ha fatto | Così una risposta sbagliata può essere spiegata da ciò che alla persona è stato davvero mostrato, e non solo da ciò che Faro ne ha detto |
| Chat WhatsApp | Ogni messaggio WhatsApp tra il numero del prodotto e le persone di un'azienda che lo usano, nei due sensi: cosa è stato scritto, chi l'ha scritto (la persona, Faro o il prodotto stesso), quando, e se è arrivato ed è stato letto. Conservato con i dati dell'azienda stessa e mai cancellato da solo. Le chat dell'ufficio dell'azienda le rileggono soltanto la persona di cui è la chat e un titolare dell'azienda | Perché un ufficio possa vedere cosa le sue persone hanno chiesto su WhatsApp e cosa è stato risposto loro, e se un messaggio è arrivato |
| Audit | Chi ha cambiato che cosa e quando, all'interno di un'azienda | Perché una prenotazione che si è spostata deve essere spiegabile la mattina dopo |
| Tecnici | Log delle richieste con tempi e tracce di errore, per un periodo breve. Un messaggio inviato al numero WhatsApp del prodotto stesso da un numero che non appartiene a nessun account non riceve alcuna risposta, e lascia una riga con quel numero, di che tipo di messaggio si trattava e quanto era lungo | Per trovare ciò che è lento o non funziona, e per poter dire chi ha scritto a un numero che in azienda nessuno riconosce |
| Utilizzo | Quali schermate vengono aperte e dove vanno i clic, e nella bacheca del giorno le ricerche fatte (quanti viaggiatori, quale lingua, quale punto di pick-up) e quanto tempo richiede una prenotazione, come analytics di prodotto, collegato al numero di account interno della persona, alla sua azienda, al suo ruolo e alla sua agenzia. Mai il suo nome o il suo indirizzo email, e il testo di ciò su cui clicca viene mascherato. | Per vedere quali parti del prodotto vengono usate e da chi (l'ufficio o un'agenzia), e dove le persone incontrano difficoltà, mai per profilare un ospite. |

Su TourCockpit non c'è pubblicità, non c'è alcun network pubblicitario, e nulla che riguardi un ospite viene venduto o condiviso per il marketing di qualcun altro. È una proprietà del prodotto, non una promessa sulle intenzioni.

## Quali cookie imposta TourCockpit?

Solo quelli che servono al prodotto per funzionare. Nessun cookie pubblicitario, nessun network pubblicitario, e niente che ti segua su un altro sito.

| Cookie | Che cosa fa |
| --- | --- |
| tp_session | Ti tiene connesso. Senza, non c'è prodotto |
| tp_co | In quale azienda stai lavorando in questo momento, così risponde il sottodominio giusto |
| tp_company | L'azienda da proporre per prima al prossimo accesso |
| tp_view_as | Impostato mentre un responsabile guarda il prodotto come uno dei propri operatori, così l'applicazione sa di chi è la vista che sta mostrando |
| tp_oauth_req | Impostato per dieci minuti mentre colleghi un'app come Claude o ChatGPT a TourCockpit. Contiene la richiesta che ti viene chiesto di consentire, così la schermata mostra esattamente ciò che l'app ha chiesto |
| tp_google | Impostato per dieci minuti mentre accedi con Google, dove questa opzione è disponibile. Collega la risposta di Google a questo browser, così un accesso iniziato altrove non può concludersi nel tuo |
| tp_theme | Chiaro o scuro, così la pagina non mostra per un istante quello sbagliato |
| tp_nav | Se la barra laterale è aperta o ridotta |
| tp_faro | Se hai Faro, così la pagina riserva lo spazio per la sua fascia laterale invece di spostarsi una volta caricata |
| locale | La lingua che hai scelto, così ogni pagina la mantiene |
| locale_at | Chi ha scelto la lingua in questo browser, e quando, così una scelta più recente che fai su un altro dispositivo vince anche qui |
| tp_tz | Il tuo fuso orario, come lo indica il tuo browser, in modo che un orario a schermo sia espresso secondo il tuo orologio |

Il prodotto tiene inoltre alcune piccole cose nella memoria del browser stesso. Queste non ci vengono mai inviate: restano sul tuo dispositivo ed esistono perché il prodotto non si ripeta.

| Che cosa tiene il browser | Perché |
| --- | --- |
| tp_learn | Se hai attivato la modalità apprendimento |
| tp_inbox_toasted | Quali notifiche ti sono già state mostrate una volta, così la stessa non compare due volte |
| tp_deployment_reload_at | Quando la pagina si è ricaricata l'ultima volta dopo un aggiornamento, così non può restare bloccata in un ciclo di ricaricamenti |
| tp_install_dismissed_at | Quando hai chiuso l'ultima volta il banner che propone di aggiungere l'app alla schermata Home, così non ricompare per tre giorni, oppure che l'app è installata, così non ricompare più |
| tp_launch_recorded | Che questa visita è già stata contata come aperta dalla schermata Home o dal browser, così viene contata una sola volta |
| tc.gridView.planning | Se l'ultima volta hai letto Pianificazione tour per settimana o per mese, così una visita si apre come l'hai lasciata |
| tc.gridView.availability | Lo stesso per Disponibilità autisti |
| tp_history_layout | Se l'ultima volta hai letto la Cronologia di un giorno per partenza o per orario |
| assistant:open | Se il pannello di Faro è aperto |
| assistant:width | La larghezza a cui hai trascinato il pannello di Faro |

## Dove vengono trattati i dati, e da chi?

L'applicazione e il database girano su Microsoft Azure in Canada Central. È lì che stanno le tue prenotazioni e i tuoi passeggeri. Il Canada è riconosciuto dalla Commissione europea come Paese che offre un livello adeguato di protezione dei dati personali, ed è questo che rende lecito quel trasferimento per un'azienda dell'Unione europea.

Queste sono tutte le aziende che i tuoi dati possono raggiungere attraverso il prodotto, e non ce ne sono altre. Tutte tranne l'ultima sono aziende su cui ci appoggiamo per farlo funzionare. L'ultima è un'app che collega qualcuno del tuo stesso personale, quindi non le arriva nulla se nessuno lo fa.

| Chi | Che cosa fanno e cosa viene loro inviato | Dove |
| --- | --- | --- |
| Microsoft Azure | Fa girare l'applicazione e il database; invia le email del prodotto; tiene una copia di ogni bacheca che un ufficio esporta per dodici mesi, perché la traccia di ciò che è stato scaricato o inviato possa dire quale file era; tiene il suono di una chiamata a Faro per 120 giorni, in archiviazione privata, perché la persona che ha fatto la chiamata, il titolare della sua azienda e il personale di TourCockpit possano riascoltarla. Il suo servizio vocale è anche l'orecchio e la voce di una chiamata a Faro: la tua voce gli viene inviata mentre parli, trasforma quello che hai detto in parole e pronuncia la risposta nella voce della tua lingua. Le parole che ha sentito ricevono poi risposta come una domanda scritta, nella riga qui sotto | Canada |
| Microsoft Azure OpenAI | Risponde Faro, l'assistente dentro il prodotto. Gli vengono inviate la tua domanda, la conversazione a cui quella domanda appartiene e le pagine di aiuto, e, quando Faro cerca qualcosa per te, le prenotazioni e i dati di riferimento che il tuo account è già autorizzato a vedere, solo nella tua azienda. Quando chiedi chi ha cambiato qualcosa, gli viene inviata anche la cronologia di quella scheda: cosa è cambiato, da cosa a cosa, quando, e il nome del collega, o della persona al banco di un rivenditore, che ha fatto ogni modifica. È la stessa cronologia che il prodotto ti mostra sulla scheda stessa, e mai più di quanto puoi vederne lì. Una domanda scritta nel pannello di Faro porta con sé anche un'immagine della schermata da cui l'hai fatta, così Faro vede cosa intendi; quell'immagine viene inviata con la domanda e non viene mai conservata. Un'immagine che gli consegni, incollata, trascinata, scelta o inviata come foto su WhatsApp, viene inviata con la domanda e non viene mai conservata. Nessuna immagine viene conservata, ma una riga o due di quello che mostrava sì: Faro annota i dati che ci ha letto, il giorno, il tour, i nomi e le cifre, perché l'immagine non c'è più alla domanda successiva e la domanda successiva è di solito su quella. Quella riga viene conservata con la conversazione a cui appartiene, ed è trattata esattamente come il resto di quella conversazione. Una nota vocale che registri su WhatsApp invece di scrivere, o un clip audio che gli inoltri, viene inviata per essere trasformata in parole e poter rispondere alla domanda; la registrazione in sé non viene conservata. Quando una domanda punta a qualcosa che hai chiesto prima, gli viene inviato un estratto delle tue conversazioni precedenti, solo tue e nessuna più vecchia di 90 giorni, e poche righe contate su come usi il prodotto, come le schermate da cui chiedi più spesso. Durante una chiamata gli vengono inviate le parole di ogni domanda, una volta che il servizio vocale qui sopra le ha sentite, esattamente come viene inviata una domanda scritta; la tua voce in sé non gli viene inviata, e il suono della chiamata viene conservato per 120 giorni, come dice la riga qui sopra. Scrive anche le altre lingue del testo che il tuo ufficio scrive perché lo leggano rivenditori e ospiti: la descrizione di un seggiolino, e il nome di un tour, la sua descrizione e i dettagli che un rivenditore legge sul tour. Quelle parole vengono inviate insieme agli altri nomi dei tour della tua azienda come contesto, così un nome di luogo non viene tradotto, e la risposta viene riscritta nelle lingue della tua azienda. Nessuna prenotazione, nessun ospite e nessun viaggiatore viene inviato per far tradurre del testo | Stati Uniti per il testo, comprese le parole di una domanda fatta a voce in una chiamata; Canada per il suono di una chiamata, la sua registrazione e una nota vocale |
| PostHog | Analytics di prodotto: quali schermate vengono aperte e dove vanno i clic, e nella bacheca del giorno le ricerche fatte e quanto tempo richiede una prenotazione, ciascuno legato al numero di account interno della persona, alla sua azienda, al suo ruolo e, al banco di un rivenditore, al suo banco. Mai il suo nome né il suo indirizzo email, e il testo di ciò su cui clicca viene mascherato | Stati Uniti |
| Meta (WhatsApp Business) | Recapita i messaggi WhatsApp che un'azienda sceglie di inviare ai propri operatori e ospiti, gli avvisi che ogni persona sceglie, nel proprio profilo, di ricevere su WhatsApp invece che per email, e la bacheca del giorno stessa quando un ufficio la invia per quella via alle proprie guide e ai propri autisti, o a un titolare o responsabile che ha chiesto di ricevere ogni sera la bacheca di domani. Trasporta anche una chiamata fatta a TourCockpit dalla chat di WhatsApp, quella a cui risponde Faro: le voci di quella chiamata viaggiano su WhatsApp, come in qualsiasi chiamata WhatsApp. Quello che Faro risponde a qualcuno nella sua chat WhatsApp viaggia per la stessa via, sia che abbia scritto la domanda sia che l'abbia fatta a voce durante la chiamata, e così anche la bacheca di un giorno che chiede di farsi mandare: una risposta lunga arriva come qualche messaggio, o come un solo file di testo quando ne servirebbero più di pochi, e quella risposta porta ciò su cui ha chiesto, tra cui un elenco di prenotazioni con i suoi ospiti | Stati Uniti e Irlanda |
| Stripe | Fattura l'abbonamento: la fattura mensile e il pagamento relativo. Le vengono inviati i dati di fatturazione della tua azienda e un numero per ogni giorno, il valore delle prenotazioni che la piattaforma ha registrato per te, che il suo contatore somma alla riga dei consumi della fattura di quel mese. Nessuna prenotazione, nessun ospite e nessun viaggiatore le viene mai inviato | Stati Uniti e Irlanda |
| Cloudflare | Servizio di nomi a dominio e la rete davanti al sito | Rete globale |
| Discord | Avvisa il nostro team quando qualcuno che ha effettuato l'accesso apre in TourCockpit un indirizzo che non esiste, così un link non funzionante viene trovato e corretto. Gli vengono inviati quell'indirizzo, la pagina di TourCockpit da cui la persona arrivava, quando è successo, e il nome, il ruolo e l'azienda della persona. Niente sulle tue prenotazioni, sui tuoi ospiti o sui tuoi viaggiatori gli viene inviato | Stati Uniti |
| Google | Fa accedere una persona quando preme Continua con Google invece di usare una password: il browser di quella persona accede presso Google, e Google comunica a TourCockpit solo l'indirizzo che quell'account porta e se l'ha verificato, quindi Google sa che quell'indirizzo ha effettuato l'accesso qui, e quando. Google ospita anche le caselle di posta di TourCockpit, così vi arriva la risposta a qualsiasi email che TourCockpit invia, e anche un messaggio inviato dalla pagina dei contatti e una domanda che qualcuno passa da Faro a una persona, con la conversazione da cui è nata | Stati Uniti |
| Un'app che colleghi tu (Claude, ChatGPT) | Niente, finché qualcuno nel tuo ufficio non ne collega una, cosa che fa da dentro quell'app: accede qui e le dà il permesso. L'app lavora allora come quella persona: le viene inviato ciò che lei le chiede, cioè le stesse prenotazioni, gli stessi dati di riferimento e la stessa cronologia delle modifiche che il suo account può già vedere, e le sue conversazioni precedenti con Faro quando ne chiede una, solo nella tua azienda, e la bacheca di un giorno con i nomi e le camere dei suoi ospiti quando ne chiede una. Quelle risposte restano nella sua conversazione con l'app, in mano all'azienda che la gestisce e sotto l'accordo che quella persona ha con essa, non sotto il nostro. Nulla viene mai cambiato senza che l'app glielo mostri prima e aspetti il suo sì. Scollega, su Il mio profilo, lo interrompe subito, e lo fa anche disattivare l'account di quella persona. Il tuo stesso ufficio non deve aspettare né l'una né l'altra cosa: un responsabile o un titolare chiude dalla schermata Azienda qualsiasi app collegata alla tua azienda, resta fuori dalla tua azienda anche se quella persona la collega di nuovo, e solo il tuo ufficio può farla rientrare | Stati Uniti, per Claude e ChatGPT |

Per i trasferimenti verso gli Stati Uniti ci basiamo sulle clausole contrattuali tipo della Commissione europea, che quei fornitori offrono come parte delle proprie condizioni. Un'app che collega qualcuno del tuo stesso personale non è uno di quei trasferimenti: quella persona ha accettato da sé le condizioni di quell'azienda quando si è registrata, e noi non ne siamo parte. Non lo è nemmeno un accesso con Google, che è l'account Google della persona stessa, usato presso Google, nell'ambito dell'accordo che ha già con lui.

## Per quanto tempo vengono conservati?

- I dati operativi vengono conservati finché la tua azienda usa TourCockpit. Una prenotazione viene annullata invece che cancellata, perché è la traccia di audit a rendere la giornata spiegabile, e sparisce quando spariscono i dati dell'azienda.
- I dati della tua azienda vengono cancellati entro 30 giorni dalla chiusura dell'account, su richiesta, oppure conservati più a lungo solo dove una fattura deve essere conservata per obblighi fiscali.
- La bacheca di un giorno che è stata esportata, come il PDF, il foglio di calcolo o l'immagine che un ufficio ha scaricato, mandato per email o su WhatsApp al proprio personale, viene conservata per dodici mesi perché la traccia possa dire esattamente quale file aveva qualcuno. Solo la persona che l'ha esportata e i titolari dell'azienda possono riaprirla.
- Il suono di una chiamata a Faro, fatta nell'app o su WhatsApp, viene conservato per 120 giorni e poi cancellato, così una chiamata può essere riascoltata finché conta ancora. Una chiamata durante la quale chi chiama è passato a un'altra azienda viene tagliata nel punto in cui è passato, e ogni azienda conserva solo il tempo trascorso in essa, così nessuna azienda tiene la parte di chiamata di un'altra. Nella rara chiamata in cui quel taglio non si può fare con esattezza, non se ne conserva alcun suono. La traccia scritta di quello che vi è stato detto è un dato operativo, e sparisce quando spariscono i dati della tua azienda.
- I log delle richieste vengono conservati per 30 giorni.
- I token di accesso vengono mascherati a riposo nel momento stesso in cui vengono scritti, così una credenziale non viene mai conservata in forma leggibile.

## Quali sono i miei diritti, e come li esercito?

Se ti trovi nell'Unione europea o nel Regno Unito, puoi chiedere una copia dei tuoi dati personali, farli correggere, farli cancellare, opporti al modo in cui vengono usati, o chiederli in un formato portabile. Se ti trovi in Canada, si applicano i diritti equivalenti previsti dal PIPEDA. Se sei un ospite il cui nome è su un elenco partecipanti di un'escursione, è l'azienda che ha preso la tua prenotazione a detenerlo: scrivi a loro, e se scrivi a noi giriamo la richiesta e li aiutiamo a risponderti.

Scrivi a chip@tourcockpit.com con Privacy nell'oggetto. Rispondiamo entro 30 giorni. Se sbagliamo, puoi presentare reclamo all'autorità nazionale di protezione dei dati.

## Come sono protetti i dati?

- Due livelli di isolamento tra le aziende. Ogni query è limitata a una sola azienda dall'applicazione, e il database sotto rifiuta tutto il resto con la row-level security, così un errore nel primo livello viene comunque intercettato dal secondo.
- Le password sono sottoposte ad hash con Argon2id e non vengono mai conservate né registrate nei log in forma leggibile.
- Tutto viaggia cifrato su HTTPS, e il database è cifrato a riposo.
- Le modifiche a prenotazioni, partenze e dati di riferimento vengono tracciate all'interno di un'azienda, con chi le ha fatte e quando.
- Una chiave API vale solo per ciò a cui è vincolata: un'azienda, oppure un singolo operatore turistico, e mai di più.

Per segnalare una vulnerabilità, vedi [/.well-known/security.txt](/.well-known/security.txt).

## Come faccio a sapere se questa pagina cambia?

Quando cambia quello che facciamo, questa pagina cambia con esso nella stessa release, e il cambiamento è elencato nella pagina [Novità](/whats-new).

Ultimo aggiornamento 20 ottobre 2026.

Questa pagina è pubblicata in sette lingue. Dove una traduzione e l'inglese differiscono, è la versione inglese quella che vale.