Il titolare del trattamento è Arriva Italia S.r.l., con sede in 20145 – Milano via Trebazio 1 (“Titolare”).
Il Titolare ha nominato un responsabile della protezione dei dati personali (“Data Protection Officer” o “DPO”) che l’Interessato potrà contattare per l’esercizio dei propri diritti, nonché per ricevere qualsiasi informazione relativa agli stessi e/o alle informative di cui al seguito, scrivendo a privacy@arriva.it.
La protezione ed il rispetto dei dati personali sono importanti per Arriva Italia S.r.l. Le Informative indicano le basi in forza delle quali qualunque dato personale raccolto o fornitoci, sarà trattato.

Invitiamo l’utenza a leggere attentamente quanto segue al fine di comprendere le pratiche di Arriva Italia
relativamente all’utilizzo e alla conservazione dei dati personali e le relative modalità di trattamento.
Visitando i siti www.arriva.it e www.estore.arriva.it o fornendo le informazioni e i dati personali nei casi descritti di seguito, l’utente prende atto e, ove del caso, acconsente ai trattamenti descritti nelle Informative collegate.

1. Dati raccolti
Dati forniti dall’utente. Compilando i form disponibili sui siti di Arriva Italia ovvero mettendosi in contatto con Arriva Italia tramite telefono, e-mail o altre modalità presenti sui siti, l’utente fornirà i propri dati personali. I dati personali richiesti in ossequio al principio di minimizzazione sono solo i dati necessari e sufficienti a identificare l’interessato in relazione ai servizi richiesti.

Inoltre, l’utente fornirà i dati personali anche in altre occasioni quali, ad esempio, al momento della registrazione per l’utilizzo dei siti, per scaricare e utilizzare l’App, sottoscrivere i servizi, acquistare biglietti, utilizzare il servizio Wi-Fi presente sugli automezzi, partecipare ad un concorso, promozione o sondaggio, riportare una problematica relativa ai siti o fare un reclamo, proporre la candidatura nell’ambito della sezione “lavora con noi”, o proporre altre segnalazione nell’apposita area (es.: oggetti smarriti) così come per usufruire di specifici benefici previsti dalle norme vigenti o offerti da ARRIVA.

I dati personali forniti in tali occasioni potrebbero includere il nome e cognome, luogo e data di nascita, codice fiscale, indirizzo di residenza e di domicilio, indirizzo e-mail e numero di telefono, informazioni di natura finanziaria, fotografia o altri dettagli riguardanti l’utilizzo del dispositivo mobile o del computer portatile dell’utente.

Dati raccolti. In occasione di ogni accesso e visita ai siti da parte dell’utente, al pari delle App, Arriva Italia avrà possibilità di raccogliere le seguenti informazioni:
• informazioni di natura tecnica, quali l’indirizzo IP o MAC utilizzato per connettere il dispositivo mobile o
computer ad Internet, la posizione geografica le informazioni di login, tipologia e versione del browser,
impostazioni relative al fuso orario, sistema e piattaforma operativa;
• informazioni relative all’accesso, incluso l’intero URL, flussi di clic verso, attraverso e dai siti (compresa la data e l’orario) prodotti visionati o ricercati, tempi di risposta della pagina, errori di download, durata delle visite a determinate pagine, informazioni sull’interazione della pagina (quali scorrimento, clic e mouse-over) e metodi utilizzati per navigare e qualsiasi numero di telefono utilizzato per contattare il servizio clienti.
• Informazioni ricevute da altre fonti. Arriva Italia lavora a stretto contatto con terze parti (per finalità
commerciali, utilizzo servizi tecnici, pagamento e consegna, finalità di analisi, informazioni sulle ricerche,
agenzie di credito) e potremmo ricevere da tali soggetti informazioni sui suoi dati personali nel caso di utilizzo dei relativi siti.
• salvataggio delle preferenze remarketing e behavioral targeting I siti utilizzano cookie per salvare le preferenze di navigazione ed ottimizzare l’esperienza di navigazione dell’utente. Fra questi cookie rientrano, ad esempio, quelli per impostare la lingua.
Inoltre, mediante i servizi di remarketing e behavioral targeting si consente ai Siti ed ai suoi partner di comunicare, ottimizzare e servire annunci pubblicitari basati sull’utilizzo passato delle applicazioni da parte dell’utente. Questa attività viene effettuata tramite il tracciamento dei Dati di Utilizzo e l’uso di Cookie, informazioni che vengono trasferite ai partner a cui l’attività di remarketing e behavioral targeting è collegata. In aggiunta alle possibilità di effettuare l’opt-out offerte dai servizi di seguito riportati, l’utente può optare per l’esclusione rispetto alla ricezione dei cookie relativi ad un servizio terzo, visitando la pagina di opt-out del Network Advertising Initiative.

Remarketing Google Ads (Google Ireland Limited)
Remarketing Google Ads è un servizio di remarketing e behavioral targeting fornito da Google Ireland Limited che collega l’attività di questa Applicazione con il network di advertising Google Ads ed il Cookie DoubleClick. Gli utenti possono scegliere di non utilizzare i cookie di Google per la personalizzazione degli annunci visitando le Impostazioni annunci di Google.

Dati Personali raccolti: Cookie e Dati di utilizzo.
Luogo del trattamento: Irlanda – Privacy Policy – Opt Out. Soggetto aderente al Privacy Shield.

Facebook Ads
Facebook Ads è una forma di advertising che permette al Titolare di promuovere un post, ovvero un contenuto verso un pubblico che risulta quindi interessato ad un determinato prodotto. L’attività viene svolta mediante pixel di tracciamento (“tracking pixel”) che collega i Siti alla pagina aziendale su Facebook. Il codice raccoglie i dati dei visitatori permettendo di tracciarne il percorso.

Dati appartenenti a categorie particolari. Arriva Italia, in ossequio all’articolo 9 GDPR, non tratta dati
dell’interessato qualificati come “categorie particolari di dati personali” (per esempio, informazioni relative all’adesione ad un’organizzazione sindacale, origine etnica o informazioni relative allo stato di salute) salvo che ricorrano le condizioni d’esenzione previste al medesimo articolo 9 punto 2, con particolare riguardo alla lettera b) “consenso dell’interessato” e alla lettera c) “esercizio di diritti specifici dell’interessato e del Titolare del trattamento”.

2. Informative
Arriva Italia ha predisposto specifiche Informative per le diverse finalità di trattamento:
ARRIVA ITALIA – ELENCO INFORMATIVE COLLEGATE
a) Informativa Clienti e Terze parti
b) Informativa titoli di viaggio
c) Informativa vendita eventi turistici
d) Informativa sanzioni amministrative TPL
e) Informativa videosorveglianza TPL
f) Informativa videosorveglianza depositi e biglietterie
g) Informativa adempimenti antimafia acquisti
h) Informativa DUVRI
i) Informativa selezione del personale
j) Informativa Newsletter
k) Informativa geolocalizzazione
l) Informativa cookies

3. Finalità e base giuridica dei trattamenti

Dati da noi raccolti: I sistemi informatici e le procedure software preposte al funzionamento dei siti web
acquisiscono, nel corso del loro normale esercizio, alcuni dati personali la cui trasmissione è implicita nell’uso dei protocolli di comunicazione Internet. Si tratta di informazioni che non sono raccolte per essere associate ad interessati identificati, ma che per loro stessa natura potrebbero, attraverso elaborazioni ed associazioni con dati detenuti da terzi, permettere di identificare gli interessati. In questa categoria di dati rientrano gli indirizzi IP o i nomi a dominio dei computer utilizzati dagli utenti che si connettono ai siti, gli indirizzi in notazione URI (Uniform Resource Identifier) delle risorse richieste, l’orario della richiesta, il metodo utilizzato nel sottoporre la richiesta al server, la dimensione del file ottenuto in risposta, il codice numerico indicante lo stato della risposta data dal server (buon fine, errore, ecc.) ed altri parametri relativi al sistema operativo ed all’ambiente informatico dell’utente. Tali dati costituiscono il registro dei collegamenti.
Questi dati vengono utilizzati da Arriva Italia al solo fine di ricavare informazioni statistiche anonime sull’uso dei siti e per controllarne il corretto funzionamento. Il registro dei collegamenti viene poi mantenuto a disposizione dell’Autorità Giudiziaria ed esibito solo dietro esplicita richiesta.

Dati forniti dall’utenza. Base giuridica del trattamento. Il trattamento dei dati dell’Interessato è lecito solo se giustificato da una base giuridica. Ai sensi dell’art, 6 GDPR, il trattamento è lecito solo se e nella misura in cui ricorre almeno una delle seguenti condizioni:
a) l’Interessato ha espresso il consenso al trattamento dei propri dati personali per una o più specifiche
finalità;
b) il trattamento è necessario all’esecuzione di un contratto di cui l’interessato è parte o all’esecuzione di
misure precontrattuali adottate su richiesta dello stesso;
c) il trattamento è necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento;
d) il trattamento è necessario per la salvaguardia degli interessi vitali dell’interessato o di un’altra persona fisica;
e) il trattamento è necessario per l’esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri di cui è investito il titolare del trattamento;
f) il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento o di
terzi, a condizione che non prevalgano gli interessi o i diritti e le libertà fondamentali dell’interessato che
richiedono la protezione dei dati personali, in particolare se l’interessato è un minore.

Natura del conferimento
All’interno di ciascuna Informativa è indicata la base giuridica del trattamento dei dati richiesti. In relazione a tale condizione, deriva la necessità da parte dell’Interessato di fornire il proprio consenso ovvero la necessità di acquisire tali dati senza consenso dell’Interessato, poiché – in caso contrario – non sarebbe possibile il trattamento di tali dati e, conseguentemente, l’accesso al servizio fornito. Pertanto, il rifiuto dell’utente di fornire i dati personali non consentirà di fornire le informazioni, i servizi e, in ogni caso, il riscontro alla richiesta dell’Interessato.

4. Condivisione delle informazioni fornite dall’Interessato
Per il perseguimento delle finalità indicate, Arriva Italia ha facoltà di comunicare i dati personali dell’Interessato alle seguenti categorie di destinatari. Arriva Italia prevede comunque la richiesta di rilascio del consenso al trasferimento di detti dati.
• società del Gruppo Deutsche Bahn (www.bahn.de) ovvero società del Gruppo Arriva (www.arriva.co.uk);
• soggetti che svolgono per conto di Arriva Italia compiti di natura tecnica ed organizzativa;
• soggetti che effettuano servizi di acquisizione, lavorazione ed elaborazione dei dati necessari per la fruizione dei servizi per la clientela;
• soggetti che forniscono servizi per la gestione dei siti e del proprio sistema informativo;
• soggetti che svolgono attività di assistenza alla clientela;
• studi e società che forniscono servizi ad Arriva Italia nell’ambito dei rapporti di assistenza e consulenza;
• soggetti che svolgono adempimenti di controllo, revisione, certificazione delle attività attuate da Arriva Italia anche nell’interesse dei propri clienti ed utenti;
• società e consulenti specializzati nello svolgimento di colloqui informativi, nell’esecuzione dei test psicoattitudinali e nella valutazione dei loro risultati;
• società per la fornitura di servizi funzionali al reclutamento/selezione (quali, a titolo esemplificativo, i servizi informatici o di archiviazione).

Arriva Italia ha facoltà altresì di comunicare i dati personali dell’utente ad un acquirente o potenziale acquirente (ed i loro agenti e consulenti) in relazione a qualunque operazione di riorganizzazione, ristrutturazione, fusione o vendita, o altro trasferimento di beni, fermo restando che, in queste ipotesi, Arriva Italia si impegna a informare qualunque soggetto destinatario dei Suoi dati personali che dovrà utilizzarli esclusivamente per le finalità indicate nella presente informativa. I soggetti appartenenti alle categorie sopra riportate operano come distinti Titolari del trattamento o in qualità di responsabili del trattamento all’uopo nominati da Arriva Italia. I dati personali potranno inoltre, essere conosciuti dai dipendenti/consulenti di Arriva Italia i quali sono stati appositamente nominati soggetti autorizzati al
trattamento.
Arriva Italia, ai sensi del GDPR, mantiene un Registro dei trattamenti, nel quale sono annotati i Titolari e i Responsabili dei trattamenti, così come i diversi trattamenti. Per qualunque informazione in merito, è possibile rivolgersi al DPO, ai recapiti evidenziati.

5. Periodo di conservazione dei dati personali.
I dati personali saranno trattati per il periodo strettamente necessario alla finalità per cui sono stati raccolti e conservati per il periodo stabilito dalla normativa (ivi incluse le previsioni di prescrizione di diritti) ovvero dalla prassi aziendale, ove non vi siano indicazioni. Per le relative informazioni, si rimanda alle singole Informative.

6. Informazioni di sicurezza
Arriva Italia adotta appropriate misure di sicurezza tecniche ed organizzative al fine di proteggere i dati personali trattati da raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione non autorizzati.

Tutti i dati personali forniti o raccolti sono conservati su una infrastruttura conforme allo standard UNI CEI EN ISO/IEC 27001:2013 in ambito “Tecnologie Informatiche – Tecniche di sicurezza – Sistemi di gestione della sicurezza dell’informazione” allo standard UNI CEI EN ISO/IEC 27018:2019 e UNI CEI EN ISO/IEC 27018:2014, entrambe in ambito “Information technology — Security techniques — Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors”.
Anche Arriva Italia partecipa dal 2013 ad un programma di gruppo (promosso da Arriva Plc – UK) in materia di Information Security con un proprio Information Security Framework, basato su standard UNI CEI EN ISO/IEC 27000 e Framework CSIA – Cyber Security & Information Assurance (Policy, Framework, Standards).

Arriva Italia fa parte del Gruppo Deutsche Bahn – Arriva, che, oltre a svolgere corsi di formazione per i propri dipendenti aventi ad oggetto le policies e procedure internamente adottate sulla privacy, ha implementato un sistema di accessi per cui è consentito esclusivamente ai dipendenti autorizzati, in base alla necessità di venirne a conoscenza coerentemente con il ruolo ricoperto, di accedere ai dati personali. Arriva Italia agisce anche al fine di assicurare che tutti i fornitori di servizi che la società incarica di trattare i dati personali per conto nostro adottino appropriate misure tecniche ed organizzative al fine di salvaguardare tali dati personali.

7. Aggiornamento della presente informativa
Arriva Italia aggiornerà la presente Informativa in conseguenza di modifiche normative, tecniche o sviluppi commerciali. In tal caso, Arriva Italia adotterà adeguate misure per informare gli Interessati. Qualunque cambiamento sostanziale all’informativa sarà oggetto di nuovo consenso.
Le Informative pubblicate sui siti sono aggiornate alla versione più recente. Qualunque ulteriore versione annulla e sostituisce la precedente.

8. Diritti dell’interessato
In relazione ai trattamenti descritti nella presente Informativa, in qualità di interessato Lei potrà, alle condizioni previste dal GDPR, esercitare, in particolare, i seguenti diritti:
• diritto di accesso: diritto di ottenere conferma che sia o meno in corso un trattamento di dati personali, in tal caso, ottenere l’accesso ai dati personali – compresa una copia degli stessi – e la comunicazione, tra le altre, delle seguenti informazioni:
a) finalità del trattamento
b) categorie di dati personali trattati
c) destinatari cui questi sono stati o saranno comunicati
d) periodo di conservazione dei dati o i criteri utilizzati
e) diritti dell’interessato (rettifica, cancellazione dei dati personali, limitazione del trattamento e diritto di opposizione al trattamento
f) diritto di proporre un reclamo
g) diritto di ricevere informazioni sulla origine dei miei dati personali qualora essi non siano stati raccolti presso l’interessato
h) l’esistenza di un processo decisionale automatizzato, compresa la profilazione
• diritto di rettifica: diritto di ottenere la rettifica dei dati personali inesatti e/o l’integrazione dei dati personali incompleti;
• diritto alla cancellazione (diritto all’oblio): diritto di ottenere la cancellazione dei dati personali quando:
a) i dati non sono più necessari rispetto alle finalità per cui sono stati raccolti o altrimenti trattati
b) Lei ha revocato il Suo consenso e non sussiste alcun altro fondamento giuridico per il trattamento
c) Lei si è opposto con successo al trattamento dei dati personali
d) i dati sono stati trattati illecitamente
e) i dati devono essere cancellati per adempiere un obbligo legale
f) i dati personali sono stati raccolti relativamente all’offerta di servizi della società dell’informazione di cui all’articolo 8, paragrafo 1, GDPR. Il diritto alla cancellazione non si applica nella misura in cui il trattamento sia necessario per l’adempimento di un obbligo legale o per l’esecuzione di un compito svolto nel pubblico interesse o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria
• diritto di limitazione di trattamento: diritto di ottenere la limitazione del trattamento, quando:
a) l’interessato contesta l’esattezza dei dati personali
b) il trattamento è illecito e l’interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l’utilizzo
c) i dati personali sono necessari all’interessato per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria
• diritto di opposizione: diritto di opporsi al trattamento dei dati personali, salvo che sussistano motivi legittimi per il Titolare di continuare il trattamento;
• diritto alla portabilità dei dati: diritto di ricevere, in un formato strutturato, di uso comune e leggibile da un dispositivo automatico, i dati personali che La riguardano forniti al Titolare e il diritto di trasmetterli a un altro titolare senza impedimenti, qualora il trattamento si basi sul consenso e sia effettuato con mezzi automatizzati. Inoltre, il diritto di ottenere che i dati personali siano trasmessi direttamente da Arriva Italia ad altro titolare qualora ciò sia tecnicamente fattibile;
• proporre reclamo all’Autorità Garante per la protezione dei dati personali, Piazza di Montecitorio n. 121, 00186, Roma (RM).

9. Quesiti sulla presenta Informativa.
Per qualunque domanda, dubbio o richiesta relativamente alla presente informativa o in relazione al trattamento svolto relativamente ai dati personali dell’utente, i contatti sono i seguenti: e-mail privacy@arriva.it o via posta al seguente indirizzo: Arriva Italia S.r.l. via Trebazio 1, 20145 Milano.