Informativa sulla privacy

1. Chi è il titolare del trattamento

Il titolare del trattamento è [RAGIONE SOCIALE], con sede in [SEDE], partita IVA [PARTITA IVA] («noi»). Per qualsiasi domanda su questa informativa o sui tuoi dati puoi scriverci a [EMAIL DI CONTATTO].

[DPO: indicare se è stato nominato un responsabile della protezione dei dati e il suo contatto, oppure eliminare questa frase]

2. Cosa resta sul tuo telefono

Hoopy è fatta perché il tuo lavoro non lasci il telefono. Il motore che trasforma le immagini in punti funziona dentro l'app, anche senza rete. Non riceviamo, non vediamo e non conserviamo:

• le foto, i disegni, i loghi e le altre immagini che scegli;
• i testi delle scritte, i progetti, i font che importi e i file da ricamo che apri o esporti;
• l'email e il nome che Apple o Google associano al tuo accesso: l'app li tiene solo sul telefono, per mostrarteli nel profilo.

Quando salvi o condividi un file, lo mandi tu dove scegli (per esempio in un'app di messaggi): da lì in poi vale l'informativa di quel servizio.

3. Quali dati trattiamo

Per far funzionare l'account e i piani l'app parla con un nostro servizio (il «cloud dei conti»). Ogni richiesta è firmata da una chiave nata nel chip di sicurezza del telefono, che non ne esce mai. Il cloud tratta questi dati:

a) L'identificativo dell'account

Al primo avvio l'app crea un account anonimo: un identificativo casuale che non contiene niente di te. È anche l'identificativo con cui RevenueCat riconosce i tuoi acquisti.

b) L'accesso con Apple o con Google, se lo fai

L'accesso è facoltativo. Se accedi, l'app ci manda il gettone d'accesso («token») rilasciato da Apple o da Google. Il gettone contiene il tuo identificativo presso quel fornitore e può contenere anche la tua email. Lo verifichiamo e ne conserviamo soltanto un'impronta HMAC dell'identificativo, calcolata con una chiave segreta: non salviamo né l'email né l'identificativo in chiaro, e il gettone non viene conservato. L'impronta serve a ritrovare il tuo account su un altro telefono.

c) I tuoi dispositivi

Per ogni telefono: un identificativo, la chiave pubblica (quella privata resta nel telefono), la piattaforma (iOS o Android), le date di registrazione e dell'ultimo contatto, l'esito delle verifiche d'integrità (punto f) e se su quel telefono sono già stati usati i ricami di benvenuto.

d) I ricami, i gettoni e le ricevute

Per contare i ricami del tuo piano anche quando lavori senza rete, il cloud consegna al telefono dei gettoni firmati a uso singolo e riceve indietro un «consumo» per ogni ricamo nuovo: il gettone usato, il telefono, il momento, il tipo di contenuto (immagine o scritta) e la sua impronta SHA-256. L'impronta è un codice calcolato dal contenuto: permette di riconoscere un contenuto già pagato, così riesportarlo resta gratis, ma da essa non si può ricostruire l'immagine. Per una scritta l'impronta è calcolata dal testo; per testi molto brevi, come un nome, chi la conoscesse potrebbe in teoria verificare se corrisponde a un testo che ha indovinato. Conserviamo anche le ricevute firmate dei contenuti già pagati.

e) Gli abbonamenti e gli acquisti

Del tuo piano e delle ricariche conosciamo il prodotto, lo store, l'identificativo della transazione originale, le date di inizio e di scadenza, lo stato (attivo, disdetto, scaduto, rimborsato…) e se si rinnova. Questi dati ci arrivano da RevenueCat, che li riceve da Apple o da Google. Non riceviamo mai i dati della tua carta o del tuo metodo di pagamento: il pagamento lo gestisce lo store.

Se usi un codice sconto, conserviamo il codice, l'offerta, quando è stato riservato e usato e da quale account, e un'indicazione di chi l'ha distribuito (per esempio un negozio).

f) Le verifiche d'integrità

Per proteggere i limiti dei piani, l'app chiede ad Apple (App Attest e DeviceCheck) o a Google (Play Integrity) di attestare che è l'app originale e che il telefono non è stato manomesso. Riceviamo e controlliamo l'esito. Con DeviceCheck e con la funzione «device recall» di Play Integrity, Apple e Google conservano per noi due bit associati al telefono, che restano anche se reinstalli l'app: li usiamo solo per sapere se su quel telefono sono già stati usati i ricami di benvenuto.

g) Le segnalazioni di sicurezza

Registriamo i casi che possono indicare un abuso o un errore (per esempio un abbonamento usato su troppi telefoni, un gettone usato due volte, una firma che non torna, un acquisto arrivato prima dell'account), con l'identificativo dell'account e i dettagli tecnici necessari a capirli.

h) I dati tecnici delle connessioni

Come ogni servizio su internet, quando l'app o il browser si collegano, Cloudflare tratta il tuo indirizzo IP e i dati tecnici della richiesta per consegnarla e proteggerla dagli attacchi. Non salviamo l'indirizzo IP nel database dei conti. I registri tecnici del servizio sono conservati da Cloudflare per un periodo breve [VERIFICARE: durata dei Workers Logs secondo il piano Cloudflare in uso].

i) Questo sito

Il sito non usa cookie, non ha statistiche di visita, non carica caratteri, script o contenuti da altri siti e non contiene moduli. È servito da Cloudflare Pages, che tratta i dati tecnici delle connessioni come descritto al punto h.

4. Perché li trattiamo e su quale base giuridica

Le informazioni che l'app legge o conserva sul telefono (la chiave del dispositivo, le prove d'integrità, i gettoni) sono strettamente necessarie a fornire il servizio che chiedi. Non facciamo profilazione, non usiamo i dati per pubblicità e non li vendiamo. Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici nei tuoi confronti: il rifiuto di un gettone o di un ricamo di benvenuto riguarda solo l'uso del servizio, e puoi sempre scriverci.

Fornire i dati è facoltativo, ma senza i dati del punto 3 non possiamo darti i ricami di benvenuto né i piani. Aprire, ridimensionare e convertire i file da ricamo funziona anche senza accesso.

5. A chi li affidiamo

Non comunichiamo i tuoi dati a terzi, se non a questi fornitori, e solo per quanto serve:

• Cloudflare, Inc. — ospita il cloud dei conti (Cloudflare Workers) e il suo database (Cloudflare D1, creato nella giurisdizione dell'Unione Europea), e questo sito (Cloudflare Pages). Agisce come nostro responsabile del trattamento.
• RevenueCat, Inc. — gestisce acquisti, rinnovi e ripristini e verifica le ricevute degli store. Riceve l'identificativo anonimo dell'account e i dati degli acquisti dagli store. Agisce come nostro responsabile del trattamento.
• Apple — App Store e pagamenti, Accedi con Apple, App Attest e DeviceCheck. Per i suoi servizi Apple agisce come titolare autonomo, secondo la propria informativa.
• Google — Google Play e pagamenti, Accedi con Google, Play Integrity. Per i suoi servizi Google agisce come titolare autonomo, secondo la propria informativa.

[VERIFICARE: ruoli, entità contraenti e accordi sul trattamento dei dati (DPA) con Cloudflare e RevenueCat]

6. Trasferimenti fuori dall'Unione Europea

Il database dei conti sta nell'Unione Europea. Alcuni fornitori hanno sede negli Stati Uniti (Cloudflare, RevenueCat, e le società capogruppo di Apple e Google) e possono trattare dati fuori dall'Unione, per esempio per assistenza, sicurezza o per il funzionamento dei loro servizi. In questi casi il trasferimento avviene sulla base della decisione di adeguatezza della Commissione europea per il quadro UE-USA sulla protezione dei dati (Data Privacy Framework), per i fornitori che vi aderiscono, o delle clausole contrattuali tipo approvate dalla Commissione. [VERIFICARE per ciascun fornitore]

7. Per quanto tempo li conserviamo

• Account, dispositivi, ricami, gettoni, ricevute, ricariche e segnalazioni: finché l'account esiste. Quando lo cancelli (sezione 9) li eliminiamo subito dal database. [DA DECIDERE: periodo dopo cui si cancellano gli account anonimi inattivi, per esempio 24 mesi dall'ultimo contatto]
• Gettoni e permessi: scadono da soli entro sette giorni dall'emissione; quelli non usati tornano nella quota.
• Abbonamenti: alla cancellazione dell'account, i dati dell'abbonamento (prodotto, date, identificativo della transazione dello store) restano senza alcun collegamento all'account, perché l'abbonamento appartiene allo store e deve poter essere ripristinato. [DA DECIDERE: per quanto tempo conservarli dopo la scadenza]
• Codici sconto già usati e identificativi degli eventi ricevuti da RevenueCat: per il tempo necessario a evitare che lo stesso codice o lo stesso evento valga due volte. [DA DECIDERE]
• Dati necessari per obblighi di legge: per il tempo previsto dalla legge.

Quando cancelli l'account, chiediamo a RevenueCat di cancellare anche il cliente associato. I dati che Apple e Google conservano per i loro servizi (per esempio la cronologia degli acquisti o i due bit di DeviceCheck e Play Integrity) seguono le loro regole.

8. I tuoi diritti

Puoi chiederci in ogni momento di accedere ai tuoi dati, di rettificarli o cancellarli, di limitarne il trattamento, di riceverli in un formato leggibile (portabilità) e di opporti ai trattamenti basati sul legittimo interesse. Scrivici a [EMAIL DI CONTATTO].

Siccome non conosciamo né il tuo nome né la tua email, per trovare il tuo account potremmo chiederti informazioni che ci permettano di riconoscerlo, o di fare la richiesta dall'app. Ti rispondiamo entro un mese.

Se pensi che il trattamento violi il GDPR, puoi proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'autorità del Paese in cui vivi o lavori.

9. Come cancellare l'account

Nell'app: apri il Profilo (il bottone in alto a destra nell'elenco dei progetti), scegli Cancella il mio account e conferma. Dal cloud si cancellano subito l'account, i telefoni, i ricami contati, le ricevute, i gettoni e le ricariche. I progetti sul telefono restano: per toglierli, disinstalla l'app.

Cancellare l'account non disdice l'abbonamento: per farlo usa le impostazioni del tuo account Apple o Google. Se cancelli l'account, i ricami di benvenuto già usati non tornano.

10. Minori

Hoopy non è pensata per i minori di 14 anni e non raccoglie consapevolmente i loro dati. [VERIFICARE l'età minima e la classificazione per età negli store] Gli acquisti sono soggetti alle regole e ai controlli parentali di Apple e di Google. Se pensi che un minore ci abbia fornito dati, scrivici e li cancelleremo.

11. Come proteggiamo i dati

Raccogliamo il minimo indispensabile. Le richieste dell'app sono firmate da una chiave che resta nel chip di sicurezza del telefono; gettoni, permessi e ricevute sono firmati dal cloud; degli accessi conserviamo solo un'impronta HMAC; il database non ha un indirizzo pubblico ed è raggiungibile solo dal nostro servizio. Nessuna misura è perfetta: se dovesse accadere una violazione che ti riguarda, ti informeremo come prevede la legge.

12. Modifiche a questa informativa

Se cambiamo il modo in cui trattiamo i dati aggiorneremo questa pagina e la data in cima. Se le modifiche sono importanti te lo diremo anche nell'app.

13. Contatti

[RAGIONE SOCIALE], con sede in [SEDE], partita IVA [PARTITA IVA]. Email: [EMAIL DI CONTATTO].